Windowsの決済端末から個人情報をどう守る? 米NYで見た最新動向


狙われるWindowsベースのPC POS

多くの人々にとって気付きにくい場所でありながら、Windowsデバイスは身近に存在して日々の生活を支えている。その典型的なものが、街頭や店舗内に設置される銀行ATMのような情報機器であるキオスク端末、公共施設のデジタルサイネージや電子掲示板、小売店でのPOS(Point of Sale)端末といった機器だ。最近では液晶ディスプレイやタッチパネルを採用したインテリジェントな自販機も増えてきており、より身近になった。

一方で、こうした機器もまた悪意のある第三者によるハッキングの標的となっており、機器の影に潜んであなたのクレジットカード番号など重要な情報を狙っている可能性があるため、注意が必要だ。

WindowsのPOS/キオスク端末から個人情報をどう守るか。米ニューヨークのイベントで見た最新の取り組みをお届けする

米Hyatt Hotelsでカード情報流出 日本のホテルも該当

Hyatt Hotels
Hyatt Hotelsにおけるハッキング事件の舞台となったホテルの1つ「Grand Hyatt New York」(写真中央のビル、手前はGrand Central)

最近こうしたデバイスとハッキングの組み合わせで話題になった事例がある。ホテルチェーンの米Hyatt Hotelsによるクレジットカード情報漏えい事件だ。

2015年12月~2016年1月にかけて同社が発表した内容によれば、2015年8月~12月に世界54カ国、250拠点でカード情報を秘密裏に送信するマルウェアが同社の決済システム内で発見され、同期間に該当拠点のレストランやスパ、フロントデスクなど特定施設を利用した場合、カード情報を盗まれた可能性があるという。

マルウェアの発見された拠点リストは全て公開されており、該当者はカードの利用履歴に注意しつつ、その旨を同社CSIDの顧客保護センターに知らせてほしいと発表している。

本件では、日本国内のハイアットリージェンシー箱根リゾート&スパ、ハイアットリージェンシー京都、パークハイアット東京、アンダーズ東京も被害にあっているので注意が必要だ。2015年8月5日~12月8日に、カード名と番号、有効期限、セキュリティコードを含む個人情報が漏えいした可能性がある。ホテル側が顧客全員に情報を通知せず受け身になっている理由は、影響を受けた全員の連絡先を把握していないことによるようだ。

日本で被害にあったホテル群 Hyatt Hotelsグループでマルウェアの発見された拠点リスト。日本国内では、ハイアットリージェンシー箱根リゾート&スパ、ハイアットリージェンシー京都、パークハイアット東京、アンダーズ東京が該当する

Hyattについては現在も調査段階にあり、詳細が公開されていない部分があるが、ここ最近になって「POS」をターゲットにしたハッキング攻撃が相次いでおり、Hyattの事例もまたその延長線上にあると考えられている。

POSとは、「Point of Sales(ポイント・オブ・セールス)」
の略で、「販売時点」と訳されます。

米Targetの大規模漏えい事件からPC POSセキュリティ見直しへ

こうした事件で有名なのが、2013年12月に発覚したディスカウントチェーン大手の米Targetにおける大規模なカード情報漏えいだ。ホリデーシーズン商戦真っ盛りの買い物客のカード情報が狙われ、クレジットカードやデビットカードの情報4000万件あまり、カード情報とは別に7000万人もの個人情報が漏えいした。流出した個人情報は闇市場で大量に売り出され、米国では大きく報道された。

米Target
ディスカウントチェーン大手の米Target(写真はロサンゼルスの店舗)

それではPCをベースにしたPOSでは、どのように個人情報が盗まれるのだろうか。PC POSではカードリーダーから読み込んだ情報をセンターに送信して決済処理を行うが、現在では個人情報管理やセキュリティリスクの観点からPC内部にデータが保存されることはほぼないという。

一方で、Targetのケースでは「Memory Parser」と呼ばれるテクニックが利用されたと言われている。具体的には、データ処理のため、一時的にPC内のメモリに書き込んだカード番号など決済情報を常駐していたマルウェアが拾い出し、それを外部に送信して盗み出していたようだ。これにイベントログなどを消去するテクニックも併用すれば、発見までに時間がかかる可能性が高い。

なお、感染経路については、Target社内のセンター側のサーバを経由した説が濃厚で、犯人がリモートでひそかにコードを送り込んで拡散させたとみられている。

過去の連載でも少し触れたが、こうしたクレジットカード情報を読み取る機能を持ったPOSやキオスク端末ではいまだにWindows XPが利用されているケースがあり、あるいはWindows XPでなくてもPOS用にカスタマイズされたWindowsシステムが用いられていることが多い。

Targetの事件を契機に、米国ではPC POSのセキュリティ運用が見直された。また本件は、クレジットカードを磁気ベースのものから、チップベースのもの(EMV)へと移行するための宣伝にもなったと言われている。

米国では2015年10月以降に「Liability Shift(ライアビリティシフト)」が施行され、EMVに対応した決済端末を導入しない小売店舗では、カード情報漏えいによる被害を銀行ではなく小売店側が負うという責任移譲(ライアビリティシフト)が起きている。

EMVは仕組み上、磁気カードのようにカード番号など決済に必要な情報が素の状態で漏えいすることが難しい。そのため、二重の意味で小売店側にとって、導入に向けた取り組みが必要なものとなっている。

OS領域と決済領域を分割する仕組みで対応へ

筆者はここ数年、毎年1月に米ニューヨークで開催されている全米小売協会(NRF)の「Retail’s Big Show」を取材している。POSやキオスク端末をはじめ、顧客管理システムから倉庫管理システムまで、最新の小売技術に関するあらゆる展示や講演が行われるイベントだ。MicrosoftやIntelといったPC業界でおなじみのメーカーも多数出店しており、パートナー各社の最新ソリューションが紹介されている。

ちょうどライアビリティシフトが施行される直前だった2015年の展示会では、EMV関連の話題が多かったが、2016年は「光」や「RFIDタグ」を用いた新技術に関する展示のほか、セキュリティ関連の展示が増えていた。

例えば米KIOSK Information SystemsのブースではIntel Securityとの提携により、同社が開発・提供しているキオスク端末のセキュリティを強化し、ウイルスなどマルウェアの侵入を防いだり、遠隔から稼働状況を安全に管理する仕組みをアピールしたりと、これまであまりこの種の端末では見られなかったアピールをしていた。

米KIOSK Information Systemsブース 米KIOSK Information Systemsのブース。Intel Securityとの提携でキオスク端末の世界にもPCセキュリティの概念をアピールする

 Intelのブースでは同社製プロセッサを搭載したパートナー各社の決済ターミナルや(PC)POS端末、タブレットを多数展示していたが、その中でハードウェア技術を絡めたセキュリティ対策を紹介して人を集めていた。

Targetの事例にあるように、マルウェアはPOSとして機能するOS(多くの場合はWindows)に感染してカード情報や顧客情報を盗み出そうとする。そこでIntelブースでは、ハードウェア的にPOS OSが動作する領域と保護領域を切り分け、カード情報がやってくる決済端末は保護領域側に接続し、ここを中継してセンター側と決済処理を行うことで、仮にPOS OSがマルウェアに感染したとしても、決済情報そのものには影響を与えないで済むというセキュリティ対策を提案していた。

ARM系のプロセッサがスマートフォンにApple Payなど決済の仕組みや著作権保護の仕組みを導入するのに用いているTrustZoneと同じタイプのテクニックだが、これを用いることで、PC POSにおいても従来のシステムを併用しつつ、決済処理など一段と高いセキュリティの実装が可能となる。

OSそのものをセキュリティでガチガチに強化して穴をふさぐよりも、最初から仕組みを切り分けるほうが安全度が高いかもしれない。

Intelブース展示(1) Intelプロセッサを搭載したPOSと決済ターミナル群

Intelブース展示(2)Intelブース展示(3) IntelブースではPOS OSの領域と決済処理のセキュアな領域を物理的に分割することで、既存のシステムを生かしつつ、決済処理の安全性を高めるソリューションを提案

 なおPOSの世界だが、Squareなどの会社が登場して「iPhoneやiPadを決済端末にする」という「mPOS」の仕組みが話題となったが、現在ではやや一段落した感があり、従来型のPOSのほか、mPOSにおいてもWindowsタブレットの比率が増えるなど、引き続きWindowsが中心の世界に戻ったという印象がある。

一方で、中国系のメーカーを中心に最近ではAndroidベースのPOSが急速に増えており、ニューヨークの展示会でも以前にも増して製品展示を見かけるようになった。最近では「Poynt」というAndroidベースの中央集中式POSシステムを提供するベンダーも登場し、Androidシステム上に独自のアプリ・エコシステムを築き、サードパーティーらの参加を促しているケースもある。

状況次第では、ほぼWindows独占状態だったPOSやキオスク端末の世界でAndroidのシェアが拡大する可能性がある。この辺りは引き続きウォッチしつつ、動向をお伝えしていきたい。

4 thoughts on “Windowsの決済端末から個人情報をどう守る? 米NYで見た最新動向

  1. Pingback: 123movies

  2. Pingback: panselnasmenpancpns.com

  3. Pingback: GVK Biosciences

  4. Pingback: Pendaftaran CPNS Kemenkumham

Comments are closed.