Quando Keith Bond comprou um sistema computadorizado para o caixa do seu restaurante, ele pensava que estava modernizando o serviço. Agora, ele acredita que estava abrindo uma porta dos fundos para crackers romenos , algo que custou a ele mais de 50 mil dólares.

O restaurante de Bond é um dos diversos estabelecimentos da Louisiana que estão processando os fabricantes de um sistema de vendas, alegando que as companhias que fazem e revendem o produto devem ser responsabilizadas por multas cobradas por processadores de pagamento de cartão de crédito depois da invasão do sistema.

A história de Bond parece um alerta a pequenos empresários, que ao conectar os negócios à internet também se tornaram presas para cibercriminosos sofisticados.

Bond diz que os sistemas de seu restaurante foram invadidos junto com diversos outros da região, em março de 2008. Investigadores disseram a ele que os sistemas foram comprometidos por crackers romenos que usaram um software de acesso remoto aos dispositivos para roubar números de cartão de crédito. O programa permite ao revendedor de Bond suporte remoto a problemas no sistema. Os criminosos pegaram esses números de cartão de crédito e usaram para fazer compras pelos Estados Unidos.

Em uma ação judicial, Bond e outros prejudicados alegam que o sistema point-of-sale (POS) não segue padrões da Payment Card Industry Data Security Standard (PCI DSS), que define o quão seguro as companhias de cartão de crédito esperam que sejam os computadores dos vendedores.

Depois da invasão, Bond teve que gastar cerca de 20 mil dólares para recuperar o sistema. Ele também teve que pagar dezenas de milhares de dólares em multas pelos 699 números de cartão de crédito que foram roubados dos seus dispositivos de venda.

“Nossos clientes são restaurantes”, diz o advogado de Bond, Charles Hoff, em um comunicado. “Eles são especialistas em comida, não em tecnologia. Quando empresas da indústria dizem que o software está dentro dos padrões da PCI-DSS, nossos clientes acreditam e confiam.”

Os restaurantes entraram com a ação em outubro. Representantes da Radiant Systems, responsável pelo sistema, se recusaram a comentar o caso, mas afirmam que as alegações não têm méritos. “Os consumidores foram vítimas e atos criminosos há quase dois anos. Infelizmente, no mundo atual, crimes como esses não são incomuns.”

Bond não acredita nisso. “Você está comprando um sistema POS caro”, ele disse. “Mas quando você é comprometido, a Visa e a Mastercard vão atrás dos vendedores. Não tem nível de responsabilidade da fabricante ou do revendedor. Tudo cai em cima do vendedor, que é o único que sofre.”

A ação judicial afirma que a Visa alertou a Radiant que não estava de acordo com a PCI um ano antes dos crimes, mas os restaurantes não foram avisados dos problemas.

(Robert McMillan)