Ilustración: una película de escaneo, en nubes de puntos, de un comercio: una calle comercial de noche, un pasillo de supermercado cerrado y sus murales de frío, las cajas y sus datáfonos, el autopago, un pago online desde un portátil en casa, la expedición de un centro de distribución y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
SupermercadosCadenas de tiendasTiendas online
Entramos en tus tiendas antes que un delincuente.
De tu tienda online a cuentas de clientes, pagos y sistemas de tienda. Con Fortify, escribimos el arreglo en 24 horas.
Ataque real Supermercados de toda Europa Ver los ataques
Comercio y venta online
A un delincuente le basta una entrada a tus tiendas.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funciona un comercio. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Proveedor de cajas y datáfonos
- Agencia de tu tienda online
- Empresa frigorista
- Mantenedora de instalaciones
Acceso remoto
- VPN
- Escritorio remoto
- Soporte remoto
- Portales de proveedores
- Routers 4G
-
Tienda online
- Web y página de pago
- Cuentas de clientes
- App de fidelización
- Panel de administración
-
Tiendas
- Cajas y autocobro
- Datáfonos
- Etiquetas electrónicas
- Wifi de clientes
-
Sala de máquinas
- Supervisor de frío
- Calefacción y climatización
- Gestión del edificio
-
Almacén y oficinas
- Sistema de almacén (SGA)
- Pedidos a proveedores (EDI)
- ERP
- Correo
- Copias de seguridad
-
Nueve países europeos
Supermercados de toda Europa
Los equipos de frío de las tiendas, tomados a distancia y pasados a desescarche; se tiraron alimentos refrigerados y congelados.
Fuentes France 24 (AFP) CNBC (Reuters) NBC News Euronews Infobae
-
Francia
Supermercados de toda Francia
Frigoríficos llevados hasta 50 °C; unos 700 de los 10.000 supermercados afectados, según el ministro.
Fuentes Click2Houston (AP) France 24 (AFP) ABC News (Australia) Techniques de l’Ingénieur (AFP) Public Sénat CERT‑FR (ANSSI) INCIBE‑CERT
-
Países Bajos, Bélgica y Estados Unidos
Ahold Delhaize, propietaria de Albert Heijn y Delhaize
Las entregas online y las apps de Albert Heijn cayeron; el grupo lo atribuyó a acciones maliciosas de terceros. No se ha demostrado relación con Francia.
Fuentes NOS The Register
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para comercios y sus clientes.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a un comercio.
- PCI DSS pide pruebas de penetración al menos cada 12 meses y tras cualquier cambio significativo (11.4.2 a 11.4.4). 1
- Cada script de tus páginas de pago debe estar autorizado y comprobado, con avisos de cambios no autorizados (6.4.3 y 11.6.1). 1
- Autenticación multifactor en el acceso remoto a los datos de tarjetas, y las cuentas de empresas externas activas solo cuando hacen falta (8.4.3, 8.2.7). 1
Preguntas
Lo que nos preguntan
- ¿Qué probaríais?
- Tu tienda online, la página de pago, las cuentas de clientes, las apps, el correo, las VPN y los accesos de tus mantenedores, desde fuera.
- ¿Ayuda con PCI DSS?
- Sí: con Fortify probamos tras cada cambio y guardamos la evidencia de la nueva prueba, pero no certificamos el cumplimiento.
- Ya tenemos un proveedor informático. ¿Por qué vosotros?
- Tu proveedor informático hace funcionar tus sistemas y nosotros los atacamos; si ya se ocupa de la seguridad, encontramos lo que se le ha escapado.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- PCI Security Standards Council, Middlebury College, Payment Card Industry Data Security Standard: Requirements and Testing Procedures, Version 4.0.1, . Consultado el .
- US Senate Committee on Commerce, Science, and Transportation (GovInfo), Protecting Personal Consumer Information from Cyber Attacks and Data Breaches (S. Hrg. 113-531), . Consultado el .