Skimming to przeżytek, do bankomatu można się włamać przez dial-up

Barnaby Jack, specjalista ds. bezpieczeństwa informatycznego z firmy IOActive zaprezentował skuteczny sposób na włamanie się do bankomatu i wypłacenie dowolnej kwoty pieniędzy. Prezentacja miała miejsce w czasie konferencji Black Hat.

Przez całe lata podstawowym celem ataku przestępców byli klienci korzystający z bankomatów, a główną metodą ataku - skimming (instalowanie tuż przy czytniku kart bankomatu urządzeń skanujących karty i kamer rejestrujących moment podania przez klienta PIN-u). Przestępcy-desperaci bywają bardziej radykalni, kradnąc bankomaty w całości.

Barnaby Jack pokazał jednak prostszy sposób na włamanie. Zrobił to na przykładzie dwóch zakupionych przez siebie bankomatów - typowych maszyn, jakie często spotykamy na ulicach, w placówkach usługowych i handlowych.

Wg Jacka przestępca może przeprowadzić skuteczny atak za pośrednictwem połączenia wdzwanianego (dial up) - duża liczba bankomatów ma narzędzia zdalnego zarządzania, do których dostęp można uzyskać przez telefon. Odnalezienie podatnych na ten atak bankomatów umożliwia oprogramowanie typu "war-dialling", łączące się z setkami tysięcy numerów telefonicznych.

Jack opracował sposób na ominięcie zdalnego systemu autoryzacji, po czym zmodyfikował firmware bankomatu za pośrednictwem napisanego przez siebie rootkita. Opracował też sieciowe narzędzie, które nazwał Dilinger, służące do przechowywania danych o zhakowanych maszynach i klientach, którzy z nich skorzystali.

W czasie jednego z pokazów połączył się zdalnie z bankomatem, uruchomił swój program Jackpot, który sprawił, że maszyna zaczęła wypluwać z siebie gotówkę, wyświetlając jednocześnie słowo "Jackpot" (ang. najwyższa wygrana) na ekranie i odgrywając melodyjkę. Z drugim razem po prostu otworzył bankomat kupionym w Internecie kluczem i zainstalował swój firmware.

Narzędzia stworzone przez Jacka to oprogramowanie proof-of-concept, którego zadaniem było uświadomienie skali podatności bankomatów na włamania. Sam ekspert przekonuje, że najwyższy czas na przemyślenie konstrukcji tych maszyn. "Firmy, które produkują te urządzenia, to nie Microsoft. Nie są od 10 lat celem nieustannych ataków".

Bankomaty zhakowane przez Jacka pracowały jednak pod kontrolą systemu Microsoftu - Windows CE.

Barnaby Jack pierwotnie planował przeprowadzić pokaz na ubiegłorocznej konferencji Black Hat, jednak zmienił zdanie poproszony o to przez producentów bankomatów. Ci ostatni chcieli przyjrzeć się lukom w zabezpieczeniach, które odkrył, i usunąć je.