تحتاج النقدية بسرعة؟ وجدت دراسة جديدة أنه في عام 2018 ، لا يزال اختراق أجهزة الصراف الآلي أمرًا سهلاً بشكل ملحوظ.

الائتمان: إيغور إيرج / شاترستوك
(رصيد الصورة: Igor Irge / Shutterstock)

نظر باحثون من شركة الاستشارات الخاصة بأمن المعلومات Positive Technologies في 11 نموذجًا مختلفًا من أجهزة الصراف الآلي التي صنعتها تم إعداد NCR و Diebold Nixdorf و GRG Banking ، في 26 تكوينًا مختلفًا ، ووجدوا أن أمان أجهزة الصراف الآلي أمر مزعج تعبث.

كانت كل ماكينة صراف آلي قام الباحثون بفحصها معرضة للهجمات القائمة على البرامج ، ولم تتضمن جميعها فتح خزانة أجهزة الصراف الآلي. يتخلى الجميع عن بيانات بطاقة العميل بطريقة أو بأخرى ؛ 85 في المائة ، أو 22 من أجهزة الصراف الآلي التي تم اختبارها البالغ عددها 26 جهازًا ، تتيح لك الفوز بالجائزة الكبرى والخروج بأموال مسروقة دون كسر الخزينة.

"في أغلب الأحيان ، تكون الآليات الأمنية مجرد مصدر إزعاج للمهاجمين" تقرير التقنيات الإيجابية، صدر أمس (نوفمبر. 13) ، قال. "وجد مختبرونا طرقًا لتجاوز الحماية في كل حالة تقريبًا."

أكثر: أفضل خدمات الحماية من سرقة الهوية

يتكون جهاز الصراف الآلي من جهاز كمبيوتر وخزنة داخل الخزانة. غالبًا ما يعمل الكمبيوتر بنظام Windows ولديه مدخلات لوحة مفاتيح وماوس وشبكة منتظمة. افتح الخزانة باستخدام مثقاب أو مفتاح قفل أو مفتاح - غالبًا ما يفتح مفتاح واحد جميع وحدات طراز معين - وستحصل على وصول فعلي إلى الكمبيوتر.

الخزنة تحتوي على النقود ، وموزع النقود متصل مباشرة بالخزنة ، والتي ستحتاج إلى معدات ثقيلة أو متفجرات لفتحها. لكن شركة Positive Technologies وجدت أن الكمبيوتر أو اتصالات الشبكة الخاصة به أو الواجهة التي تربط الكمبيوتر بالخزنة يمكن أن تمنحك دائمًا نقدًا أو معلومات بطاقة الصراف الآلي الخاصة بالعميل.

قبل أن يعطي المستخدم نقودًا ، يجب أن يتحدث كمبيوتر ATM إلى خادم في مركز معالجة معاملات بعيد ، باستخدام إما اتصال Ethernet سلكي أو مودم خلوي. بعض الاتصالات عبارة عن روابط مباشرة مخصصة ، بينما يذهب البعض الآخر عبر الإنترنت. لكن ليست جميعها مشفرة.

وأشار التقرير إلى أن "أجهزة الصراف الآلي التي تم اختبارها أظهرت في كثير من الأحيان ضعف حماية جدار الحماية وعدم كفاية الحماية للبيانات المنقولة بين أجهزة الصراف الآلي ومركز المعالجة"

هجمات أجهزة الصراف الآلي عن بعد

لهذا السبب ، لم تتطلب جميع الهجمات وصولًا ماديًا إلى الأجهزة. فشلت خمسة عشر من أصل 26 ماكينة صراف آلي في تشفير الاتصالات مع خوادم المعالجة ، على الرغم من أن بعضها فعل ذلك عبر الإيثرنت وليس لاسلكيًا. ستحتاج فقط إلى الاستفادة من حركة مرور الشبكة ، سواء سلكيًا أو لاسلكيًا ، للحصول على بيانات البطاقة.

قامت نماذج أخرى بتأمين حركة المرور باستخدام خلل شبكات VPN يمكن فك تشفيرها. كان البعض يعرف عيوبًا أمنية في أجهزة أو برامج الشبكة التي يمكن أيضًا استغلالها ، حيث لم تصحح جميع أجهزة الصراف الآلي العيوب المعروفة.

أكثر: يجب تغيير إعداد جهاز التوجيه الواحد (لكن لا أحد يفعل ذلك)

في عدد قليل من الأجهزة ، يمكن مهاجمة الاتصالات الخلوية بخوادم المعالجة باستخدام مفاتيح التشفير الموجودة في البرامج الثابتة للمودم. بيانات الاعتماد الإدارية الافتراضية - اسم المستخدم وكلمة المرور كلاهما "جذر" - أعطت Telnet وصولاً كاملاً إلى أحدهما الجهاز ، وكان من الممكن فرض أوراق اعتماد إدارية ضعيفة على شبكة الويب البعيدة للنموذج نفسه واجهه المستخدم.

في كلتا الحالتين ، سيكون من الممكن إرسال استجابات خادعة للمعالج-الخادم إلى الأجهزة ، مما يؤدي إلى الفوز بالجائزة الكبرى النقدية.

هجمات أجهزة الصراف الآلي المادية ولكن غير تدخلية

تضع بعض طرز أجهزة الصراف الآلي منفذ إيثرنت على الجزء الخارجي من الخزانة ، مما يجعل من الممكن فصل الكابل وتوصيل جهاز كمبيوتر محمول انتحل خادم معالجة وأخبر جهاز الصراف الآلي بصرف النقود. يمكن أيضًا استغلال العيوب الأمنية المعروفة في أجهزة أو برامج شبكة أجهزة الصراف الآلي ، حيث لم تصحح جميع أجهزة الصراف الآلي العيوب المعروفة.

من المؤكد أنه ليس من السهل دائمًا التسكع حول أجهزة الصراف الآلي ولديك الوقت الكافي لشن هجوم. لكن التقرير أشار إلى أن المحتال سيحتاج إلى 15 دقيقة فقط للوصول إلى اتصال شبكة أجهزة الصراف الآلي بمركز المعالجة - وهو أمر قد لا يكون واضحًا في الثالثة صباحًا.

فتح خزانة أجهزة الصراف الآلي

بمجرد فتح الخزانة والوصول إلى منافذ إدخال الكمبيوتر ، لن يكون هناك الكثير بينك وبين الفوز بالجائزة الكبرى.

وقال التقرير "معظم أجهزة الصراف الآلي التي تم اختبارها سمحت بتوصيل أجهزة USB و PS / 2 بحرية". "يمكن للمجرم توصيل لوحة مفاتيح أو أي جهاز آخر يقلد إدخال المستخدم."

عند استخدام ماكينة الصراف الآلي ، تكون في "وضع الكشك" ولا يمكنك التبديل إلى تطبيق آخر. ولكن إذا قمت بتوصيل لوحة مفاتيح ، أو تم إعداد Raspberry Pi للعمل مثل لوحة المفاتيح ، فيمكنك استخدام أجهزة الصراف الآلي مثل الكمبيوتر العادي.

قال التقرير: "كان الخروج من وضع الكشك ممكنًا في كل حالة بمساعدة مفاتيح الاختصار" ، وكانت مفاتيح الاختصار هذه عادةً ما تكون مجموعات Windows القياسية مثل Alt + F4 لإغلاق نافذة نشطة ، أو Alt + Tab للتبديل بين الفتحات التطبيقات.

لن يؤدي الخروج من وضع الكشك إلى صرف النقود ، ولكن استخدام لوحة المفاتيح يجعل الأمر أكثر ملاءمة لتشغيل الأوامر الضارة على أجهزة الصراف الآلي. نظرًا لأن أكثر من نصف الأجهزة التي تم فحصها تعمل بنظام التشغيل Windows XP ، نظام التشغيل 2001 الذي يحتوي على الكثير من نقاط الضعف المعروفة ، لم يكن هذا صعبًا دائمًا.

وجد الباحثون أيضًا أن جهازين يشغلان تطبيقات مسجلات فيديو رقمية في الخلفية لتسجيل نشاط العملاء. بمجرد الخروج من وضع الكشك ، قام فريق التقنيات الإيجابية بإحضار نوافذ DVR المخفية عن طريق تحريك مؤشر الماوس إلى أحد أركان الشاشة. ثم يمكنهم استخدام تطبيق DVR لمسح لقطات الأمان.

تثبيت برامج ضارة لأجهزة الصراف الآلي

قامت معظم أجهزة الصراف الآلي بتشغيل تطبيقات أمنية لمنع تثبيت البرامج الضارة. أربعة من هذه التطبيقات نفسها ، بما في ذلك تطبيقان تم إنشاؤهما بواسطة McAfee و Kaspersky Lab ، بها عيوب أمنية خاصة بها. قام تطبيق أمان آخر بتخزين كلمة مرور الإدارة في نص عادي.

بمجرد تغيير إعدادات تطبيق الأمان ، يمكنك الاتصال مباشرة بالقرص الصلب لجهاز الصراف الآلي لإضافة برامج ضارة إذا لم يكن محرك الأقراص مشفرًا. يمكن للباحثين القيام بذلك مع 24 من أجهزة الصراف الآلي الـ 26 التي تم فحصها. شراء مثل هذه البرامج الضارة ليس رخيصًا - فهو يبدأ من 1500 دولار في المنتديات الجنائية عبر الإنترنت - ولكن يمكنك استخدامه على جهاز واحد أو آخر من نفس الطراز.

أو يمكنك فقط توصيل محرك أقراص USB بمنفذ USB بجهاز الصراف الآلي والتمهيد من ذلك. تتيح لك سبع آلات تغيير ترتيب تمهيد BIOS سريعًا. ثم ستحصل على وصول غير مقيد إلى محرك الأقراص الثابتة الرئيسي لجهاز الصراف الآلي.

الوضع غير الآمن

يمكنك فقط إعادة تشغيل الجهاز في وضع التصحيح أو الوضع الآمن ، مما يؤدي غالبًا إلى الفوز بالجائزة الكبرى.

وقال التقرير: "كان من الممكن تحديد وضع إقلاع مختلف في 88 بالمائة من أجهزة الصراف الآلي". "في 42 بالمائة من الحالات ، يمكن للمختبرين تطوير هذا الهجوم بشكل أكبر وسحب الأموال في النهاية."

توصيل الصندوق الأسود لجهاز الصراف الآلي

لا تحتاج في الواقع إلى الوصول إلى كمبيوتر ماكينة الصراف الآلي للحصول على النقود. يمكنك بسرعة توصيل "الصندوق الأسود" - Raspberry Pi أو جهاز مشابه يعمل ببرنامج تشخيص ATM معدل - مباشرة إلى موزع النقود الموجود على الخزنة لصنع الموزع القيء الأوراق النقدية.

يقوم معظم صانعي أجهزة الصراف الآلي بتشفير الاتصالات بين كمبيوتر أجهزة الصراف الآلي وموزع النقد لجعل هذا الهجوم مستحيلًا نظريًا. لكن نصف أجهزة الصراف الآلي التي فحصتها شركة Positive Technologies استخدمت تشفيرًا رديئًا يسهل اختراقه ، وخمس ماكينات صراف آلي لا تحتوي على برامج حماية ضد هجمات الصندوق الأسود على الإطلاق.

إذن ما الفائدة من ذلك بالنسبة لي؟

في الولايات المتحدة ، تحمي اللوائح المصرفية المستهلكين من المسؤولية في جميع أشكال هجمات الاستيلاء على النقد من أجهزة الصراف الآلي تقريبًا. إن التزامك الوحيد هو إبلاغ البنك الخاص بك بالسرقة بمجرد اكتشافها.

الخطر الحقيقي على الصناعة المصرفية ، وقالت شركة Positive Technologies إن الصناعة يمكن أن تقلل من حجم السرقة من خلال الإصرار على أن صانعي أجهزة الصراف الآلي تشفير محركات الأقراص الصلبة ATM ، وتشفير الاتصالات بقوة مع خوادم المعالجة ، وترقية الأجهزة لتشغيل Windows 10 ، وتعطيل لوحة مفاتيح Windows الشائعة الأوامر ، وإغلاق تكوينات BIOS ، واستخدام كلمات مرور إدارية أفضل ، وأخيراً وليس آخراً ، تجعل أجهزة الكمبيوتر ATM أكثر صعوبة في التعامل معها. التمكن من.

وقال التقرير: "نظرًا لأن البنوك تميل إلى استخدام نفس التكوين على عدد كبير من أجهزة الصراف الآلي" ، "يمكن تكرار هجوم ناجح على ماكينة صراف آلي واحدة بسهولة على نطاق أوسع".

  • ضحية سرقة الهوية؟ إليك 6 أشياء تحتاج إلى القيام بها
  • أفضل خدمات وتطبيقات VPN
  • كيفية تحديث البرنامج الثابت لجهاز التوجيه الخاص بك