Una extensa sesión de pruebas llevada a cabo por expertos en seguridad bancaria de Positive Technologies ha revelado que la mayoría de los cajeros automáticos pueden ser pirateados en menos de 20 minutos, e incluso menos, en ciertos tipos de ataques.
Los expertos probaron cajeros automáticos de NCR, Diebold Nixdorf y GRGBanking, y detallaron sus hallazgos en un informe de 22 páginas publicado esta semana.
ZDNet: ofertas de Black Friday 2018: Las mejores selecciones de Business Bargain Hunter / ofertas de Cyber Monday 2018: Las mejores selecciones de Business Bargain Hunter
Los ataques que probaron son los tipos típicos de hazañas y trucos utilizados por los ciberdelincuentes que buscan obtener dinero de la caja fuerte del cajero automático o copiar los detalles de las tarjetas bancarias de los usuarios (también conocidas como skimming).
Los expertos dijeron que el 85 por ciento de los cajeros automáticos que probaron permitían el acceso de un atacante a la red. El equipo de investigación hizo esto desenchufando y tocando los cables Ethernet, o falsificando conexiones inalámbricas o dispositivos a los que el cajero automático generalmente se conectaba.
Los investigadores dijeron que el 27 por ciento de los cajeros automáticos probados eran vulnerables a que se falsificaran las comunicaciones de su centro de procesamiento, mientras que el 58 por ciento de los cajeros automáticos probados tenían vulnerabilidades en sus componentes de red o servicios que podían explotarse para controlar el cajero de forma remota.
Además, el 23 por ciento de los cajeros automáticos probados podrían ser atacados y explotados apuntando a otros dispositivos de red conectados al cajero automático, como, por ejemplo, módems GSM o enrutadores.
«Las consecuencias incluyen desactivar los mecanismos de seguridad y controlar la salida de billetes del dispensador», dijeron los investigadores en su informe.
Los expertos de PT dijeron que el típico» ataque de red » tardaba menos de 15 minutos en ejecutarse, según sus pruebas.
Pero en caso de que los hackers de cajeros automáticos estuvieran buscando una forma más rápida de entrar, los investigadores también descubrieron que los ataques de caja Negra eran los más rápidos, por lo general tardaban menos de 10 minutos en despegar.
Un ataque de Caja Negra es cuando un hacker abre la caja del cajero automático o perfora un agujero en ella para llegar al cable que conecta la computadora del cajero automático a la caja de efectivo (o caja fuerte) del cajero automático. A continuación, los atacantes conectan una herramienta personalizada, llamada Caja Negra, que engaña al cajero automático para que dispense efectivo a pedido.
PT dice que el 69 por ciento de los cajeros automáticos que probaron eran vulnerables a tales ataques y que en el 19 por ciento de los cajeros automáticos, no había protección contra los ataques de Caja Negra en absoluto.
Otra forma en que los investigadores atacaron los cajeros automáticos probados fue tratando de salir del modo de quiosco, el modo de sistema operativo en el que se ejecuta la interfaz del cajero automático.
Los investigadores descubrieron que al conectar un dispositivo a una de las interfaces USB o PS/2 del cajero automático, podían arrancar el cajero automático del modo quiosco y ejecutar comandos en el sistema operativo subyacente para retirar dinero de la caja fuerte del cajero automático.
El equipo de PT dice que este ataque generalmente toma menos de 15 minutos, y que el 76 por ciento de los cajeros automáticos probados eran vulnerables.
Otro ataque, y el que más tardó en llevarse a cabo pero arrojó los mejores resultados, fue uno durante el cual los investigadores eludieron el disco duro interno del cajero automático y arrancaron desde uno externo.
Los expertos de PT dijeron que el 92 por ciento de los cajeros automáticos que probaron eran vulnerables. Esto sucedió porque los cajeros automáticos no tenían una contraseña de BIOS, usaban una que era fácil de adivinar o no usaban cifrado de datos de disco.
Los investigadores dijeron que durante sus pruebas, que normalmente no tomaban más de 20 minutos, cambiaron el orden de arranque en la BIOS, arrancaron el cajero automático desde su propio disco duro e hicieron cambios en el sistema operativo normal del cajero automático en el disco duro legítimo, cambios que podrían permitir salidas de efectivo o operaciones de extracción de dinero en efectivo.
En otra prueba, los investigadores de PT también descubrieron que los atacantes con acceso físico al cajero automático podían reiniciar el dispositivo y forzarlo a arrancar en un modo seguro/de depuración.
Esto, a su vez, permitiría a los atacantes acceder a varias utilidades de depuración o puertos COM a través de los cuales podrían infectar el cajero automático con malware.
El ataque tardó menos de 15 minutos en ejecutarse, y los investigadores encontraron que el 42 por ciento de los cajeros automáticos que probaron eran vulnerables.
Por último, pero no menos importante, los resultados más deprimentes se produjeron en lo que respecta a las pruebas de cómo los cajeros automáticos transmitieron los datos de la tarjeta internamente o al banco.
Los investigadores de PT dijeron que fueron capaces de interceptar los datos de la tarjeta enviados entre los cajeros automáticos probados y un centro de procesamiento bancario en el 58 por ciento de los casos, pero fueron 100 por ciento exitosos en interceptar los datos de la tarjeta mientras se procesaban internamente dentro del cajero automático, como cuando se transmitían desde el lector de tarjetas al sistema operativo del cajero automático.
Este ataque también tardó menos de 15 minutos en despegar. Teniendo en cuenta que la mayoría de los ataques a cajeros automáticos en el mundo real ocurren durante la noche y se dirigen a cajeros automáticos en lugares aislados, 20 minutos es más que suficiente para la mayoría de las operaciones delictivas.
«La mayoría de las veces, los mecanismos de seguridad son una mera molestia para los atacantes: nuestros evaluadores encontraron formas de eludir la protección en casi todos los casos», dijo el equipo de PT. «Dado que los bancos tienden a utilizar la misma configuración en un gran número de cajeros automáticos, un ataque exitoso en un solo cajero automático se puede replicar fácilmente a mayor escala.»
Se probaron los siguientes cajeros automáticos.
Cobertura de ciberseguridad relacionada:
- Los ataques de jackpotting de cajeros automáticos golpean al TechRepublic de EE. UU.
- El Departamento de Defensa deshabilita el servicio de intercambio de archivos debido a «riesgos de seguridad»
- Muchas aplicaciones VPN móviles gratuitas se basan en China o tienen propiedad china
- El informe del gobierno holandés dice que la recopilación de telemetría de Microsoft Office rompe el RGPD
- PayPal en Walmart CNET
- Una de cada cinco tiendas infectadas con Magecart se reinfecta en cuestión de días
- El malware de rozamiento de tarjetas eliminado de la tienda en línea Infowars
Las mejores ofertas de Black Friday 2018:
- Amazon Siete Días de viernes Negro Ofertas de: Todos los niveles históricos más bajos en dispositivos de oficina
- Amazon viernes Negro 2018 ofertas: Ver las primeras ventas en Eco, Fire HD
- Mejor Comprar el viernes Negro 2018 ofertas: grandes descuentos en los Mac de Apple, Microsoft Surface
- Destino viernes Negro 2018 ofertas: $250 iPad mini 4, $120 Chromebook
- Walmart viernes Negro 2018 ofertas: $99 Chromebook, $89 Windows 2-en-1
- Dell viernes Negro 2018 ofertas: $120 portátil Inspiron, $500 juego de escritorio
- Newegg viernes Negro ofertas de 2018: Moto 50 de descuento en Moto G6, off 70 de descuento en termostato Nest
- Ofertas de Office Depot Black Friday 2018: Lenovo 300 de descuento en Lenovo Flex, HP 129 HP Chromebook
- Ofertas de eBay Black Friday 2018: Consulte las ventas anticipadas en Galaxy Watch, Chromecast
- Ofertas de Lenovo Black Friday 2018: laptops ThinkPad y más
- Microsoft Store Black Friday Ofertas de 2018: Anuncios de superficie, ofertas para laptops
- Ofertas para laptops Windows Black Friday: Dell, HP, Lenovo
- Ofertas para Chromebook Black Friday 2018: Dell, Google, HP
- Las mejores ofertas para tabletas Black Friday: Apple iPad, Amazon Fire
- Black Friday 2018 iPhone deals: $400 iPhone X gift card, BOGO iPhone XR
- Black Friday 2018 smartphone deals: OnePlus 6T, LG G7