Una ricerca Kaspersky Lab spiega la vulnerabilità dei bancomat

Gli esperti di Kaspersky Lab hanno scoperto perché è così semplice far obbedire un bancomat ai comandi di un hacker

È possibile accedere illegalmente a quasi tutti i bancomat al mondo e sbancarli con o senza l’aiuto di malware. Secondo una ricerca condotta dagli esperti di Kaspersky Lab, questo è dovuto all’uso diffuso di software vecchi o non protetti, ad errori nella configurazione di rete e a una mancanza di una protezione fisica per alcune parti fondamentali del bancomat.
Per molti anni la più grande minaccia per i clienti e i proprietari di bancomat sono stati gli skimmer, dispositivi speciali collegati a un bancomat per rubare i dati dalle bande magnetiche delle carte di credito. Le tecniche malevole si sono evolute e i bancomat sono stati esposti a maggiori pericoli. Nel 2014, i ricercatori di Kaspersky Lab hanno scoperto Tyupkin, uno dei primi esempi di malware per bancomat ampiamente conosciuto, e nel 2015 hanno rilevato Carbanak, che, tra le altre cose, è in grado di sbancare un bancomat attraverso l’infrastruttura compromessa della banca. Entrambi gli esempi di attacco sono stati realizzati sfruttando molte debolezze comuni nella tecnologia bancomat e nell’infrastruttura che li supporta.
Nel tentativo di mappare tutte le problematiche di sicurezza dei bancomat, gli specialisti nei test di penetrazione di Kaspersky Lab hanno portato avanti una ricerca basata sull’analisi di attacchi reali e sui risultati delle valutazioni di sicurezza dei bancomat di numerose banche internazionali.

Problemi software

Come risultato della ricerca, gli esperti hanno dimostrato che gli attacchi malware contro i bancomat sono possibili principalmente a causa di due problematiche di sicurezza:
• Tutti i bancomat sono PC che installano versioni molto vecchie dei sistemi operativi come Windows XP. Questo li rende vulnerabili a infezioni con malware PC e attacchi attraverso exploit. Nella maggior parte dei casi, il software che permette al PC del bancomat di interagire con l’infrastruttura della banca e le unità hardware, elaborando l’erogazione di contanti e le operazione delle carte di credito, è basato sullo standard XFS. Questa è una caratteristica tecnologica piuttosto vecchia e non protetta, creata originariamente per standardizzare il software dei bancomat, così da poter lavorare con qualsiasi dotazione indipendentemente dal produttore. Il problema è che lo standard XFS non richiede autorizzazione per i comandi che esegue, questo significa che ogni app installata o eseguita sul bancomat può inviare comandi a qualsiasi altra unità hardware del bancomat, compreso il lettore di carte e l’erogatore di banconote. Nel caso in cui un malware infetti un bancomat, avrà funzionalità praticamente illimitate di controllo dello stesso: potrà trasformare il PIN pad e il lettore di carte in skimmer ‘nativi’ o erogare tutto il denaro del bancomat grazie a un comando dell’hacker.

Sicurezza fisica

In molti casi analizzati dai ricercatori di Kaspersky Lab, i criminali non hanno dovuto usare i malware per infettare il bancomat o la rete della banca a cui era collegato. Questo è stato possibile a causa della mancanza di sicurezza fisica degli stessi bancomat, una problematica molto comune a questi dispositivi. Sovente i bancomat sono realizzati e installati in modo che una terza parte possa facilmente accedere al PC integrato nel bancomat o al cavo di rete che connette la macchina a Internet. Ottenendo anche un accesso parziale al bancomat, i criminali potenzialmente possono:
• Installare microcomputer (chiamati anche black box) specificatamente programmati all’interno del bancomat, che permetteranno ai cyber criminali di accedervi;
• Ricollegare il bancomat a un centro di elaborazione rogue.
Un centro di elaborazione falso è un software che analizza i dati di pagamento ed è identico al software della banca, a parte il fatto che non appartiene alla banca. Una volta che il bancomat è ricollegato al centro di elaborazione fasullo, i criminali informatici possono eseguire qualsiasi comando vogliano e il bancomat li eseguirà.
La connessione tra il bancomat e il centro di elaborazione può essere protetto in molti modi. Per esempio, utilizzando un hardware o un software VPN, una crittografia SSL/TLS, un firewall o l’autenticazione MAC, implementati in protocolli xDC. Tuttavia, queste misure sono utilizzate raramente oppure non sono configurate correttamente e sono vulnerabili. Ciò potrebbe essere scoperto solo durante una valutazione del livello di sicurezza del bancomat. Di conseguenza, i criminali non devono modificare l’hardware, devono solo sfruttare le falle nella rete di comunicazione tra il bancomat e l’infrastruttura della banca.

Come evitare che i bancomat siano sbancati

“I risultati della nostra ricerca dimostrano che sebbene i vendor ora stiano cercando di sviluppare bancomat con elevate caratteristiche di sicurezza, molte banche stanno ancora utilizzando modelli non sicuri e questo li rende impreparati ad affrontare i criminali che invece sfidano la sicurezza di questi device. Questa è la realtà di oggi che provoca sia alle banche sia ai clienti enormi perdite finanziarie. Dal nostro punto di vista questo è il risultato di una falsa credenza di lunga data, secondo la quale i cyber criminali sono interessati solo ad attacchi informatici contro l’Internet banking anche se assume sempre più valore la possibilità di sfruttare le vulnerabilità dei bancomat, perché gli attacchi diretti a questi dispositivi accorciano in modo significativo la strada verso il denaro”, ha dichiarato Morten Lehn, General Manager di Kaspersky Lab Italia.

Sebbene i problemi di sicurezza elencati sopra molto probabilmente sono comuni a molti bancomat in tutto il mondo, non significa che la situazione non possa essere risolta. I produttori di bancomat possono ridurre il rischio di un attacco implementando queste misure:
• In primo luogo, è necessario rivedere lo standard XFS con una maggiore attenzione alla sicurezza e introdurre l’autenticazione a due fattori tra dispositivi e software legittimi. Questo aiuterà a ridurre le probabilità di prelievi di denaro non autorizzati, usando trojan e attacker e ottenendo un controllo diretto sulle unità bancomat.
• In secondo luogo, è necessario implementare l’authenticated dispensing per escludere la possibilità di attacchi attraverso falsi centri di elaborazione.
• Infine, è necessario implementare la protezione crittografica e il controllo di integrità sui dati trasmessi tra tutte le unità hardware e il PC all’interno del bancomat.