211service.com
Il difetto apre i bancomat agli hacker
Barnaby Jack, un ricercatore di sicurezza presso il gigante delle reti di computer Ginepro , aveva programmato di hackerare un bancomat (ATM) dal vivo sul palco della Black Hat Security Conference a Las Vegas alla fine di questo mese. Ma la sua presentazione, progettata per dimostrare l'insicurezza di vari bancomat, ha attirato l'attenzione del settore finanziario e dei professionisti della sicurezza e, sotto la pressione dei produttori di bancomat, Juniper ha annullato la presentazione la scorsa settimana, citando le preoccupazioni che le vulnerabilità coinvolte non erano ancora state fisso.
La vulnerabilità che Barnaby avrebbe discusso ha conseguenze di vasta portata, non solo per il fornitore di ATM interessato, ma anche per altri fornitori di ATM e, in definitiva, per il pubblico, ha scritto Brendan Lewis, direttore delle relazioni con i social media aziendali per Juniper in una dichiarazione pubblicata alla società blog ufficiale la scorsa settimana. Divulgare pubblicamente i risultati della ricerca prima che il fornitore interessato potesse mitigare adeguatamente l'esposizione avrebbe potenzialmente messo a rischio i propri clienti. Questo è qualcosa che non vogliamo che accada.
La presentazione si sarebbe concentrata sullo sfruttamento delle vulnerabilità nei dispositivi che eseguono il sistema operativo Windows CE, inclusi alcuni bancomat, secondo una fonte che conosce i dettagli. Mentre la presentazione è stata annullata per consentire ai produttori più tempo per correggere le vulnerabilità, Juniper aveva originariamente informato la società quasi otto mesi fa, afferma la fonte, che ha chiesto di non essere nominata.
Altri esperti di sicurezza non sono sorpresi che le vulnerabilità siano lì da trovare. Difetti significativi nei bancomat e nelle reti ATM sono abbondanti, afferma Nicholas Percoco, vicepresidente senior di TrustWave , una società di sicurezza e conformità delle informazioni che ha valutato la sicurezza dei terminali dei punti vendita, dei chioschi e delle reti ATM. È molto, molto raro che un dispositivo arrivi nei nostri laboratori - in effetti, non credo che sia successo - che non troviamo una vulnerabilità, dice Percoco.
Gli sportelli automatici sono stati anche oggetto di numerosi incidenti di sicurezza di alto profilo negli ultimi 12 mesi. Nel novembre 2008, i ladri hanno rubato quasi 9 milioni di dollari da più di 130 sportelli automatici in poche ore utilizzando carte paga false. Lo schema, che ha avuto luogo in 49 città in tutto il mondo, si basava su hacker che violavano la rete della società finanziaria RBS WorldPay e ricaricavano le carte in modo da poter prelevare una media di $ 90.000 per conto.
Nel gennaio di quest'anno, il secondo più grande produttore di bancomat, Diebold, ha avvertito i clienti in un avviso che alcuni bancomat nell'Europa orientale erano stati caricati con software dannoso in grado di rubare informazioni finanziarie e i PIN segreti dei clienti che effettuano transazioni bancomat. Il software furtivo, che ha infettato almeno 20 bancomat, ha permesso ai criminali di stampare i dettagli della carta sulle ricevute degli sportelli bancomat ed espellere la cartuccia di contanti dai chioschi bancomat, secondo un'analisi del software eseguita da TrustWave.
Una volta che gli aggressori entrano attraverso i sistemi di back-end, essenzialmente si accampano, dice Percoco. Sono contanti, quindi soldi veri; non è che stanno caricando su una carta di credito e devono vendere la merce.
Tra le raccomandazioni ai propri clienti, Diebold ha chiesto alle banche e ai proprietari di bancomat di modificare periodicamente le password degli amministratori dei chioschi e di assicurarsi che i firewall siano attivi. Diebold crede che gli aggressori dovessero avere accesso fisico ai sistemi per caricare il software dannoso in primo luogo. Per quanto a conoscenza dell'azienda, questo è il primo incidente che riguarda un attacco fisico e l'installazione di software illegale all'interno dell'unità ATM, ha affermato Diebold in una dichiarazione rilasciata all'epoca.
NCR, il principale fornitore di sportelli automatici in tutto il mondo, ha adottato un approccio multilivello per proteggere i propri sportelli bancomat. L'azienda utilizza una tecnologia, nota come Solidcore, che impedisce l'esecuzione di codice non autorizzato sui suoi sistemi basati su Windows e consiglia ai clienti di bloccare il sistema operativo Windows XP utilizzando il firewall integrato e la rete privata virtuale. Altre caratteristiche di sicurezza includono misure fisiche per rendere evidente se un truffatore collega un dispositivo per rubare informazioni sulla carta al bancomat, un meccanismo per impedire a tali dispositivi di leggere facilmente le carte bancarie e l'inchiostro che macchia il denaro rubato.
Tuttavia, i rappresentanti sia dell'RNC che della Diebold hanno negato che una qualsiasi delle loro macchine fosse al centro della dimostrazione di Juniper.
Il sistema operativo utilizzato nel sistema interessato, Windows CE, pone degli ostacoli a una soluzione rapida. Microsoft consiglia di utilizzare Windows CE per bancomat di fascia bassa, mentre Windows XP Embedded e Windows XP Professional sono utilizzati su bancomat più completi, secondo un foglio bianco su piattaforme del sistema operativo chiosco e ATM emesse dal produttore del software. Windows XP Embedded, la cui ultima versione è Windows Embedded Standard 2009, e Windows XP Professional sono più sicuri perché sono più facili da aggiornare, afferma il gigante del software. Un rappresentante di Microsoft ha dichiarato che il gigante del software non aveva informazioni specifiche relative a Black Hat o al discorso annullato di Juniper.
Quasi il 56% degli sportelli automatici negli Stati Uniti esegue una qualche forma del sistema operativo Windows ed è connesso a una qualche forma di rete che può facilitare gli aggiornamenti, secondo il TowerGroup , una società di consulenza finanziaria. I dispositivi rimanenti eseguono un sistema operativo precedente, OS/2 di IBM, e in genere non hanno una connessione di rete. Poiché i bancomat in genere durano un decennio o più, i vecchi computer basati su OS/2 rimarranno in uso fino a circa il 2012, afferma Nicole Sturgill, direttore della ricerca per i canali di distribuzione presso TowerGroup.
Sturgill si aspetta che i criminali informatici trovino nuovi modi per attaccare i bancomat. È un continuo gioco del gatto e del topo, dice. Non importa quanto sei bravo: gli sportelli automatici saranno sempre un posto dove accedere ai contanti, quindi i criminali saranno sempre interessati a trovare un nuovo buco negli sportelli automatici.