ทีมงานของ ERPScan พบช่องโหว่ที่ใช้เพียง Raspberry Pi ต่อเข้า Network ก็สามารถยึดเครื่อง POS และเปลี่ยนข้อมูลทุกอย่างได้ทั้งส่วน Frontend และ Backend ของ SAP POS

ช่องโหว่ดังกล่าวเป็นช่องโหว่ใน SAP POS Xpress Server ซึ่งถือเป็น POS ที่ใช้กันทั่วไปใน Super Market ต่างๆ ที่จำเป็นต้องทำก็คือ Hacker ต้องต่อ Raspberry Pi ให้ไปอยู่ในวงเดียวกับ POS ต่างๆให้ได้ก็พอ ซึ่งจาก VDO ตัวอย่างด้านล่างจะเห็นว่าส่วนใหญ่จะไม่ได้สนใจในสาย LAN ที่ต่อเครื่อง POS ซักเท่าไหร่ ทำให้ Hacker สามารถต่อ Raspberry Pi เข้ากับระบบได้อย่างง่ายดาย

ตัว SAP POS นั้นเป็นตัวที่ทำงานแบบ Client-Server ซึ่งระบบจะต้องเชื่อมต่อ Server อยู่ตลอด เพื่อนำราคามาจากส่วนกลางเมื่อมีการ scan barcode จากนั้นจึงส่งข้อมูลของบัตรเครดิตไปคิดที่ธนาคาร ซึ่งทาง ERPScan ที่เป็นผู้ค้นพบบอกว่ามีการใช้งาน SAP POS Solution นี้ในตลาดถึง 80% (ดูจาก Forbes Global 2000)

ปัญหานี้ได้ถูกแจ้วให้กับ SAP ไปตั้งแต่เมษายน 2017 ทีผ่านมา โดยปัญหาของช่องโหว่เกิดจากการที่ SAP POS Server นั้นไม่มีการ authentication แต่อย่างใด ทำให้ Hacker สามารถเข้าไปแก้ไข function ใดๆได้โดยไม่จำเป็นต้องใช้ username,password แต่อย่างใดเลย Attacker สามารถเข้าไปเปลี่ยนแปลงราคาสินค้า, แก้ไขกระบวนการจ่ายเงิน หรือแม้กระทั่งคอยดักฟังข้อมูลของบัตรเครดิตที่ถูกใช้จ่ายผ่าน SAP POS ได้อีกด้วย

ช่องโหว่ดังกล่าวได้ถูกเขียนเป็น Note ของ SAP ไว้เป็น SAP Security Note 2476601 และ SAP Security Note 2520064.

Source:: BleepingComputer