过去几周内，多伦多皇后东街（Queen Street East）上的多家商户遭遇盗窃，损失数千加元。

而让人震惊的是，窃贼们正是利用商家用来收款的POS收银机，反过来对商家下手。

“若无其事”盗走4900加元

在The Beaches社区的一家家庭经营的店铺 Souvlaki Hut，监控录像记录下了一名顾客“若无其事”地拿起POS机，给自己操作退款2000元。

“太震惊了，”Souvlaki Hut店主的儿子Artie Jorgaqi说，“老实说，我妈妈每天辛苦工作，听说她辛苦赚来的钱就这样被人拿走，真的让人难以接受。”

在另一家店Pippins Tea Company，店主Barbara Deangelis告诉CTV新闻，几周前一个年轻人走进店里，说是要买个茶壶送给祖母，结果却是给自己操作了近4900元的退款。

“简直恶心，”Deangelis回忆说，“对于我们这种小型独立零售店来说，这可是笔大钱。”

两位店主都表示，他们从未预料到POS收银机存在如此漏洞。

温哥华商家被盗$4000

今年3月，Factory Optical (1980)就在小红书上发帖称店里发生新型盗窃事件，造成近$4000加元的损失，并触发了刷卡公司的警报。提醒商家们务必警惕！

帖子还分享了窃贼的盗窃手法：

调包刷卡机：小偷趁员工不注意，偷偷换走了刷卡机，并用新机进行多次退款。

精准操作：小偷似乎提前掌握了刷卡机的密码，并成功将款项退回到自己的借记卡上（debit card）。由于退款到借记卡的交易不可追回，店家遭受了直接经济损失。

团伙作案：他们至少有两人，一人吸引前台员工的注意，另一人趁机调包刷卡机。

隐藏电子足迹：为了不引起注意，小偷不仅退款，还用盗刷的信用卡做了一些消费，让交易金额看起来正常。

远程操控：小偷在晚上开通了刷卡机的手机网络功能，让设备通过移动信号联网，避免被轻易追踪。

漏洞“非常严重”

一位安全专家称，这些漏洞“非常严重”。

“很多POS终端从一开始就设置错误，”安全专家Claudiu Popa说，漏洞主要来自两个方面：一是设备默认的密码很容易被盗贼利用，二是用户从未更改的默认设置。

“这种骗局，就像你把上锁的iPhone放下，结果有人不仅能解锁，还能刷你的手机支付，下载一堆收费应用，”他解释道。

警方目前尚未将这两起案件联系起来，但认为这可能属于一波蔓延到新地区的盗窃潮。

市政府紧急应对

去年，多伦多副市长Mike Colle曾对此召开专门峰会。

“Bathurst、Dufferin、Eglinton、Avenue Road、Lawrence、St. Clair……几乎所有商户都遭了殃，但他们彼此从未交流过这事。”Colle表示。

他曾亲自挨家挨户提醒商户，并张贴提醒贴纸，告知潜在窃贼店铺的POS设备已锁定。

“基本原则就是：晚上必须把POS设备锁好。不在店里的时候，别把设备留在柜台上，而是收进柜台下面。顾客来时再拿出来。每周都要更换一次管理员密码，”Colle建议说。

The Beach商业促进协会（Beach BIA）也已向成员发出电子邮件，提醒POS设备存在的安全隐患。

Beach BIA负责人Lori Van Soelen表示，她此前未听说过这种方式的盗窃案——这说明窃贼们正在更换目标地区，并尝试新手法。

“我觉得我们正进入一个新的阶段，”她说，“大家必须对自己的机器更有防范意识，了解顾客到底能不能进行某些操作。”

POS机服务商回应

在Pippins的案例中，其POS服务商Moneris最终全额退款，Deangelis表示对他们的处理非常满意。

Moneris对CTV新闻表示，他们的设备并不设有默认的“未授权退款”代码。

“商户在设置设备时，会被要求设定管理员密码，并建议设置用户权限以控制如退款之类的操作。我们始终建议商户将支付终端视为现金——在不使用时应锁好并妥善保管。”Moneris发言人Darren Leroux在邮件中表示。

而Souvlaki Hut所使用的POS设备来自Clover。Clover截至周三截稿前尚未回复CTV的置评请求。

Jorgaqi表示，2000元的损失对他们来说是个沉重打击，如果事先知道可以设置退款额度上限，他们一定会设置。他也认为POS厂商不应把设备以如此脆弱的默认状态交到商户手中。

“我认为厂商应该提供更好的保护机制，比如限制单笔退款额度，或加入双重验证系统，来防止此类事件再次发生。”他说。