Millions of point of sales systems are vulnerable to security breaches as they are protected by the same default password - used by a global maker of payment devices for more than two decades, researches say. The password, 166816, is still being used by about 90 per cent of customers, researchers David Byrne and Charles Henderson disclosed on Wednesday during the annual RSA security conference in California. Henderson said that the unidentified vendor had been using the same default password since at least 1990, according to The Register. Researchers Charles Henderson (right) and David Byrne (left) said a global maker of cash registers has been using the same default password on the payment devices for more than two decades. This potentailly puts the devices at risk of being a target of a security breach . 'Nine out of 10 times when we see equipment from that manufacturer, 90 per cent of the time, this is the password,' he said. 'I actually saw this password really recently on a different manufacturer's device [by a customer] who thought the password was unique to them.' Hackers would need physical access to the payment devices, opening a panel of the device using a paperclip, to exploit it, according to The Register. This type of attack is uncommon and reportedly easy for malicious staff. For example, during the conference it was revealed that two individuals reportedly entered a major American retail store, unscrewed a server rack and walked out with the server leaving the store unable to process credit card payments, according to RT. While Henderson and Byrne did not name the vendor using the 166816 password,  a Google search pointed to Verifone which connects around 27 million payment devices around the world, according to RT. On Thursday, Verifone said in a statement that all of its devices in the field came with the same default password, Z66831, according to CSO. The company also said the password can be found on the Internet with instructions for programming terminals. However, Verifone claimed sensitive payment information or personally identifiable information cannot be captured, even though the password has become known over the years. While Henderson and Byrne did not name the vendor, a Google search pointed to Verifone (file photo of one of the company's payment devices) The company said: 'What the password allows someone to do is to configure some settings on the terminal; all executables have to be file signed, and it is not possible to enter malware just by knowing passwords.' Its new products come with a 'pre-expired' password that has to be changed during installation set up, according to Verifone, and the company also said it encourages customers to change the default password, reported CSO. As retailers have increasingly battled security breaches in recent years, Target was at the center of the second-largest card breach at a U.S. retailer two years ago. An investigation found that hackers stole the personal information of at least 70million of Target's customers, including names, mailing addresses, telephone numbers and email addresses. Hackers are thought to have stolen the credit card details by breaking into Target's computer systems and installing data mining software on credit card machines. The software installed on 40,000 machines across Target's 1,797 stores read the information on a card's magnetic strip - including account number, sort code and CCV code - when it was swiped through the machine. All of the card details were then sent back to the hackers through the internet, before the theft was discovered after nearly three weeks. In another case of a security breach, in 2014, 56million debit and credit cards are estimated to have been breached in a data theft between April and September at Home Depot stores in the U.S. and Canada.
Researchers  said during security conference that payment devices by unidentified global vendor came with password '166816'
While researchers did not identify the vendor, Google search points to Verifone, which said its devices in the field come with password 'Z66831'
Verifone claimed sensitive payment information or personally identifiable information cannot be captured .
מיליוני מערכות נקודות מכירה חשופות לפרצות אבטחה מכיוון שהן מוגנות על ידי אותה סיסמת ברירת מחדל - בשימוש על ידי יצרנית עולמית של מכשירי תשלום במשך יותר משני עשורים, אומרים מחקרים. הסיסמה, 166816, עדיין נמצאת בשימוש על ידי כ-90% מהלקוחות, כך חשפו החוקרים דיוויד ביירן וצ'רלס הנדרסון ביום רביעי במהלך ועידת האבטחה השנתית של RSA בקליפורניה. הנדרסון אמר שהספק הלא מזוהה השתמש באותה סיסמת ברירת מחדל מאז 1990 לפחות, לפי הרישום. החוקרים צ'ארלס הנדרסון (מימין) ודיוויד ביירן (משמאל) אמרו שיצרנית עולמית של קופות רושמות משתמשת באותה סיסמת ברירת מחדל במכשירי התשלום כבר יותר משני עשורים. זה עלול להעמיד את המכשירים בסיכון להיות יעד לפריצת אבטחה. "תשע מתוך 10 פעמים כשאנחנו רואים ציוד מהיצרן הזה, 90 אחוז מהמקרים, זו הסיסמה", אמר. "למעשה ראיתי את הסיסמה הזו ממש לאחרונה במכשיר של יצרן אחר [על ידי לקוח] שחשב שהסיסמה ייחודית לו." האקרים יצטרכו גישה פיזית למכשירי התשלום, פתיחת פאנל של המכשיר באמצעות מהדק נייר, כדי לנצל אותו, על פי The Register. סוג זה של התקפה אינו שכיח ולפי הדיווחים קל עבור צוות זדוני. לדוגמה, במהלך הוועידה נחשף כי על פי הדיווחים שני אנשים נכנסו לחנות קמעונאית אמריקאית גדולה, שחררו מתלה שרת ויצאו החוצה עם השרת שיצא מהחנות ללא יכולת לעבד תשלומים בכרטיס אשראי, לפי RT. בעוד הנדרסון ובירן לא שמו את הספק באמצעות הסיסמה 166816, חיפוש בגוגל הצביע על Verifone שמחברת כ-27 מיליון מכשירי תשלום ברחבי העולם, לפי RT. ביום חמישי, Verifone אמרה בהצהרה שכל המכשירים שלה בתחום הגיעו עם אותה סיסמת ברירת מחדל, Z66831, לפי CSO. החברה מסרה גם כי ניתן למצוא את הסיסמה באינטרנט עם הוראות לתכנות מסופים. עם זאת, Verifone טענה שלא ניתן ללכוד פרטי תשלום רגישים או מידע אישי מזהה, למרות שהסיסמה נודעה עם השנים. בעוד הנדרסון ובירן לא נתנו את שמו של הספק, חיפוש בגוגל הצביע על Verifone (תמונת קובץ של אחד ממכשירי התשלום של החברה) החברה אמרה: 'מה שהסיסמה מאפשרת למישהו לעשות זה להגדיר כמה הגדרות בטרמינל; כל קובצי ההפעלה צריכים להיות חתומים בקבצים, ולא ניתן להזין תוכנות זדוניות רק על ידי הכרת סיסמאות.' המוצרים החדשים שלה מגיעים עם סיסמה 'פג תוקף' שיש לשנות במהלך הגדרת ההתקנה, על פי Verifone, והחברה גם אמרה שהיא מעודדת לקוחות לשנות את סיסמת ברירת המחדל, דיווח CSO. מכיוון שקמעונאים נאבקים יותר ויותר בפרצות אבטחה בשנים האחרונות, Target עמדה במרכז פרצת הכרטיסים השנייה בגודלה אצל קמעונאי אמריקאי לפני שנתיים. חקירה מצאה שהאקרים גנבו מידע אישי של לפחות 70 מיליון לקוחות של Target, כולל שמות, כתובות דואר, מספרי טלפון וכתובות מייל. מאמינים שהאקרים גנבו את פרטי כרטיס האשראי על ידי פריצה למערכות המחשב של Target והתקנת תוכנת כריית נתונים במכונות כרטיסי אשראי. התוכנה המותקנת על 40,000 מכונות ברחבי 1,797 החנויות של Target קוראת את המידע על הרצועה המגנטית של הכרטיס - כולל מספר חשבון, קוד מיון וקוד CCV - כאשר הוא הועבר דרך המכונה. כל פרטי הכרטיס נשלחו בחזרה להאקרים דרך האינטרנט, לפני שהתגלתה הגניבה לאחר כמעט שלושה שבועות. במקרה אחר של פרצת אבטחה, בשנת 2014, 56 מיליון כרטיסי חיוב וכרטיסי אשראי נפרצו בגניבת נתונים בין אפריל לספטמבר בחנויות הום דיפו בארה"ב ובקנדה.
חוקרים אמרו במהלך כנס האבטחה שמכשירי תשלום של ספק עולמי לא מזוהה הגיעו עם הסיסמה '166816'
בעוד החוקרים לא זיהו את הספק, החיפוש של גוגל מצביע על Verifone, שאמרה שהמכשירים שלה בתחום מגיעים עם סיסמה 'Z66831'
Verifone טענה שלא ניתן ללכוד פרטי תשלום רגישים או מידע אישי מזהה.