I POS vengono hackerati? Quanto sono sicuri i dati delle carte di credito?

se il pos è un vecchio modello cambialo prendi un nuovo dispositivo. chiedi alla ditta per la conformità pci-dss, loro lo sanno. tieni i dati della carta criptati ricevute troncate (mostra 1234, nascondi il resto). fai gli aggiornamenti del firmware regolarmente...

Requisiti PCI-DSS: 1) Segmentazione di rete (POS → rete di pagamento), 2) Regole firewall (solo porte POS), 3) Crittografia (AES-256, TLS 1.2+), 4) Controllo degli accessi (password forte, gestione chiavi), 5) Scansione vulnerabilità (trimestrale), 6) Rilevamento intrusioni, 7) Conservazione dati (minimizzata), 8) Piano di risposta agli incidenti. Software del terminale: controlla gli aggiornamenti firmware Verifone, Ingenico. Tokenizzazione: il processore di pagamento gestisce il token, non salvare il numero di carta nella memoria del POS. Rischio modalità offline: ritardi nel settlement batch, alto rischio di chargeback.

Non usare il vecchio POS, i terminali EMV del 2024 sono molto economici. Se devi fare la conformità PCI-DSS chiedi al tuo processore di pagamento, ti aiuteranno anche loro. Tieni i dati della carta criptati e tokenizzati — il vero numero non deve apparire da nessuna parte. Se vendi il dispositivo fai una cancellazione sicura prendi il certificato di garanzia...

Livelli di sicurezza POS: 1) Hardware (anti-tamper, secure boot), 2) Software (OS firmato, aggiornamenti verificati), 3) Comunicazione (TLS 1.2+, certificate pinning), 4) Dati (crittografia, tokenizzazione, gestione chiavi), 5) Conformità (autovalutazione PCI-DSS, SAQ, audit). Transizione: vecchio POS → nuovo POS, migrazione dati (cancellazione sicura del vecchio dispositivo). Incidente: violazione carta → notifica PCI, notifica di violazione, analisi forense.

20 anni di gestione POS, l'errore più grande è usare hardware vecchio. I terminali vecchi non ricevono patch di sicurezza per il firmware, sono bersagli per malware. Nuovo terminale (chip + contactless, tokenizzato) + VLAN corretta + audit PCI = sicuro. Se non salvi i dati della carta sulla macchina, non diventi un bersaglio per gli hacker.

Non ho alcuna esperienza in materia di sicurezza pos, quindi chiedo. comunque se permessi e ambito non sono scritti, quel test non deve iniziare.

Naturalmente cambia se la vostra situazione è diversa.

mi sono rilassato leggendo questa risposta quindi non succede solo a me. cioè prendere misure senza fare un inventario lascia aperta una porta che non vedi.

quando prendi una decisione, guarda prima qali dati hai a disposizione.

A me è successo l'esatto contrario, per questo scrivo. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Lascio una nota, potrebbe servire.

Riassumo l'argomento, perché sono state date diverse risposte. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Io seguirei questa strada.

Hai fatto bene ad aprire questo thread.

Bisogna procedere con ordine. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Mi farebbe piacere se scrivesse il risultato.

Vorrei fare una domanda. Un backup non testato non è un backup.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Confermato dall'esperienza.

Salvato.

Racconto cosa mi è successo, magari vi è utile. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

È tutto, scusate se mi sono dilungato.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono una piccola impresa, vi parlo dal mio punto di vista. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Sono curioso di sapere se qualcuno lo fa in modo diverso.

racconto cosa mi è successo, magari vi è utile ma comunque le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparao tardi.

lascio una nota pootrebbe servire.