تتجه المحلات والسوبرماركت والمطاعم والمراكز التجارية في الدقهلية بسرعة إلى قبول المدفوعات الإلكترونية عبر ماكينات نقاط البيع (POS): بطاقات ميزة وفيزا وماستركارد، والمحافظ الإلكترونية، وإنستاباي. ومع هذا النمو أصبحت الماكينات وأنظمة الكاشير المحيطة بها هدفًا لعصابات تزرع برمجيات خبيثة أو تركّب أجهزة نسخ أو تخترق شبكات المتاجر غير المؤمنة لسرقة بيانات البطاقات. والاختراق قد يعني خسائر للعملاء ومسؤولية على المتجر وفقدان الثقة.
1. اعرف أبرز التهديدات
- برمجيات التجسس على الذاكرة (RAM Scrapers): تُزرع في حواسيب نقاط البيع وتلتقط بيانات البطاقة أثناء وجودها غير مشفرة لحظيًا في ذاكرة الجهاز خلال العملية.
- العبث المادي: تركيب غطاء نسخ احتيالي (Skimmer) فوق فتحة البطاقة أو لوحة المفاتيح، أو استبدال الماكينة كلها بجهاز مزيف يسجل بيانات البطاقة والرقم السري.
- اختراق الشبكة: الدخول إلى شبكة متجر ضعيفة الحماية واعتراض بيانات الدفع غير المشفرة.
2. التزم بمعيار أمن بيانات صناعة بطاقات الدفع (PCI DSS)
يضع قطاع البطاقات معيار PCI DSS، وتلتزم به المنشآت التي تقبل البطاقات من خلال تعاقدها مع البنك المستحوذ، وإصداره الحالي v4.0.1. ومن أهم قواعده (المتطلب 3.3.1) عدم الاحتفاظ ببيانات التحقق الحساسة بعد تفويض العملية ولو مشفرة: أي بيانات الشريط المغناطيسي أو الشريحة كاملة، ورمز التحقق من البطاقة (CVV/CVC)، والرقم السري (PIN) أو كتلته المشفرة. واستخدم فقط ماكينات معتمدة ضمن برنامج أمان معاملات الرقم السري (PCI PTS)؛ والماكينات التي يوفرها البنك تكون عادة كذلك، لكن اسأل.
3. اعزل شبكة الدفع وشفّر بيانات البطاقة
ضع ماكينات وأنظمة نقاط البيع في شبكة مستقلة (شبكة محلية افتراضية VLAN خلف جدار حماية) معزولة عن واي فاي الزبائن وحواسيب الإدارة والمحاسبة ونظام المخزون. واستخدم حيثما توفر حلًا للتشفير من نقطة إلى نقطة (P2PE): تُشفّر بيانات البطاقة داخل الماكينة لحظة قراءتها ولا يفك تشفيرها إلا مزود الحل، فلا تفيد من يعترضها داخل شبكة المتجر. واسأل بنكك هل حله مدرج لدى مجلس PCI كحل P2PE، فذلك يقلل أيضًا ما يلزمك تأمينه.
4. افحص الماكينات يوميًا
يوجب معيار PCI DSS (المتطلب 9.5.1) حماية أجهزة قراءة البطاقات من العبث والاستبدال: بالاحتفاظ بقائمة الأجهزة وأرقامها المسلسلة، وفحصها دوريًا، وتدريب الموظفين. وعمليًا، اجعل مدير المتجر أو مشرف الكاشير يفحص كل ماكينة يوميًا ويوثق ذلك:
- سلامة أختام الأمان وملصقات البنك؛
- عدم وجود أي جزء إضافي فوق فتحة البطاقة أو لوحة المفاتيح؛
- مطابقة الرقم المسلسل للرقم المسجل لدى البنك.
وثبّت الماكينات بحامل آمن في مكان مرئي تغطيه كاميرات المراقبة، على ألا تصوّر الكاميرات إدخال العميل لرقمه السري.
5. كلمات المرور والتحديثات وتقييد الاستخدام
- غيّر كل كلمات المرور الافتراضية للماكينات وحواسيب نقاط البيع وأجهزة الراوتر، واستخدم كلمات مرور قوية.
- اشترط التحقق متعدد العوامل للدخول الإداري (المتطلب 8.4 من PCI DSS).
- اقصر استخدام حواسيب نقاط البيع على برامج الدفع والمبيعات: لا تصفح ولا بريد إلكتروني ولا ملفات من وحدات USB.
- فعّل التحديثات الأمنية التلقائية، وثبّت برنامجًا معتمدًا لمكافحة البرمجيات الخبيثة، وراجع سجلات النشاط بحثًا عن اتصالات مشبوهة؛ ويشرح مقال تسجيل الأحداث الأمنية ما ينبغي تسجيله.
دور منصة الغرفة
المنصة لا تعالج مدفوعات البطاقات للمتاجر ولا تعتمد الامتثال لمعيار PCI DSS. فالبنك المستحوذ هو من يحدد المتطلبات التي تنطبق على ماكيناتك، وهو أول جهة تتواصل معها إذا اشتبهت في عبث أو اختراق. وللإطار القانوني راجع قانون البنك المركزي والجهاز المصرفي رقم 194 لسنة 2020 وقانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018 وقانون حماية البيانات الشخصية رقم 151 لسنة 2020 في قوانين تهمك. ولحصر الأجهزة التي تحتاج إلى حماية ابدأ بـسجل الأصول التقنية، وأوقف صلاحيات الكاشير عند تركه العمل كما يشرح مقال مراجعة صلاحيات الحسابات عند انتقال الموظفين أو مغادرتهم.
الخلاصة
ماكينات الدفع خط الدفاع الأول عن أموال عملائك وسمعة متجرك. اعزل أنظمة الدفع في شبكة مستقلة خلف جدار حماية، واستخدم تشفير P2PE حين يوفره بنكك، وافحص الماكينات يوميًا بحثًا عن أي عبث، والتزم بمعيار PCI DSS عبر بنكك.