Dålig mjukvara hos en vanlig övervakningskamera kan ligga bakom många av de kreditkortstölder som butikskedjor råkat ut för. Säkerhetsforskaren Rotem Kerner på RSA har hittat över 70 återförsäljare som sålt den lätthackade kameran.

Kamerorna kör en mjukvara som heter Cross Web Server som många butiker använder för att spela in övervakningsfilmer. Problemet är att applikationen är ständigt uppkopplad – och har allvarliga säkerhetsbrister. Efter en sökning på Shodan hittade Rotem Kerner över 30 000 uppkopplade enheter med mjukvaran.

”De gamla hederliga tjuvarna som bröt sig in i butikerna försökte undvika eller neutralisera kamerorna på vägen till kassaapparaten. De digitala tjuvarna använder kamerorna för att ta sig in i butikerna. Det är som i en Hollywood-film”, skriver Rotem Kerner.

Läs också: Larmet: Hackade övervakningskameror används i attacker

Problemet är inte direkt nytt heller. Rotem Kerner har grävt sig vidare från en gammal rapport från 2014 om trojanan Backoff som tog över övervakningskameror. Uppemot 1 000 amerikanska butiker hade infekterats och Backoff antogs lika bakom att vissa av deras kunders kortuppgifter stulits.

Rotem Kerner lyckades spåra mjukvaran till den kinesiska kameratillverkaren TVT. Där hittade han programvaran och började gå igenom koden och kunde konstatera att det fanns en säkerhetsbrist som låter en angripare ta kontroll över enheten.

Genom att använda kameran som ett fotfäste kan hackaren sedan ta sig vidare in i butikens nätverk, och i slutänden nå fram till kassasystemet. Väl där kan denne i värsta fall börja plocka fram tidigare kunders kortuppgifter.

Läs också: Hotell bytte ut strömbrytarna mot Android-plattor – blev självklart lekstuga för hackare

Som om det inte vore illa nog tillverkar TVT samma mjukvara och hårdvara åt runt 70 återförsäljare. Var och en av dem sätter sedan sitt eget namn på enheten, vilket gör det svårt att peka ut alla sårbara kameror på marknaden och i butikerna. För att inte nämna att alla 70 måste skicka uppdateringar till sina kunder för att täppa till säkerhetshålet.

Både Rotem Kerner och IDG News har sökt TVT för en kommentar men inte fått något svar.