歹徒利用商戶收款機漏洞 扮購物「自助退款」數千元
【明報專訊】多倫多有多家商戶發生「失竊案」，歹徒利用商家的支付終端機(POS機)漏洞來盜取金錢，有商戶更被「退款」4,900元。
在一間家庭經營的餐館Souvlaki Hut，餐館內的監控攝錄機拍攝下了一名顧客拿起支付終端機，自行辦理一筆2,000元「退款」。
專家疑與默認密碼有關
店主之子喬爾加齊(Artie Jorgaqi)說：「那個人拿起機器，是為了不讓我們看到操作，然後就手動辦理了退款。這個過程非常簡單，很多小商家都難以提防。」
Pippins茶葉公司店主德安傑利斯(Barbara Deangelis)表示，就在幾周前一名年輕男子走進店內，說要為祖母買一個茶壺，結果他自行「退款」4,900元。
安全專家波帕(Claudiu Popa)表示，「通常這些支付終端機從一開始就配置錯誤，漏洞可能來自設備原本設定的默認密碼，或者是用戶從未更改的寬鬆默認設置。這基本上就像把iPhone手機鎖住了，但後來有人不僅解鎖了手機，還進入到移動支付系統，給他自己下載了一堆付費應用程式。」
警方表示，目前尚未將兩宗案件關聯起來，但這些問題早已受關注。這股盜竊潮去年甚至促使多倫多副市長科爾(Mike Colle)召開了一次專門會議。
科爾說：「巴特士街(Bathurst)、德化林街(Dufferin)、艾靈頓(Eglinton)、亞梵奴路(Avenue Road)、羅倫斯(Lawrence)、聖卡拉(St. Clair)這些地方每家商戶幾乎都遭殃，他們之間卻從未交流過此事。」
科爾還表示，曾逐店解釋情況，並在櫥窗上貼出貼紙，提醒店主保護好自己的支付終端機。「晚上把支付終端鎖起來。不在店裏的時候不要把機器放在前台櫃檯上，要放在櫃檯下面，等有顧客來了再拿出來使用。每周更換一次密碼。」
在Pippins茶葉店一案中，其支付終端機供應商Moneris最終退還了被盜款項。
Moneris向傳媒表示，他們的機器並沒有默認的「未授權退款」代碼。
發言人勒魯(Darren Leroux)說：「商戶在設置設備時，系統會提示他們設置管理密碼。我們也建議商戶設置用戶帳戶和權限來管理如退款等功能。我們始終建議商戶像對待現金一樣對待支付終端機，不用時務必妥善保管並上鎖。」
至於Souvlaki Hut所損失的金錢尚未從支付終端機供應商Clover處退回。喬爾加齊表示，這筆2,000元的損失巨大，如果早知道可以設置退款限額，他們肯定會去做。他認為支付終端機問題太多，不應拿出來銷售。
