211service.com
Cómo hacer que un cajero automático escupe dinero
Ayer, durante una presentación llamativa en la conferencia de seguridad Black Hat en Las Vegas, un experto en seguridad informática mostró varias formas de ingresar a los cajeros automáticos.
Ganar el premio mayor: Barnaby Jack, director de investigación de IOActive, prepara un cajero automático para una demostración en la conferencia Black Hat en Las Vegas.
Barnaby Jack, quien es director de investigación en IOActive Labs , hizo que el efectivo saliera de una máquina durante minutos. Después de estudiar los modelos de cuatro empresas diferentes, dijo, en cada cajero automático que miré, encontré una vulnerabilidad de 'juego terminado' que me permitía sacar efectivo de la máquina. Incluso ha identificado un ataque basado en Internet que no requiere acceso físico.
Se suponía que la misma charla tendría lugar en la conferencia Black Hat del año pasado, pero se retiró en el último momento. En su presentación, que no reveló los detalles exactos de cómo realizó los ataques, Jack nombró a dos proveedores, Triton y Tranax, y dijo que había estado en contacto con ambos para solucionar los problemas.
Jack hizo una demostración de los ataques a dos cajeros automáticos que compró en línea y condujo a Las Vegas desde la sede de su empresa en San José. El kit de hardware que usó en la demostración costó menos de $ 100.
En una parte de su presentación, demostró una forma de que un ladrón obtenga acceso físico al cajero automático fabricado por Triton. El circuito principal del dispositivo, o placa base, está protegido solo por una puerta con una cerradura que es relativamente fácil de abrir (Jack pudo comprar una llave en línea). Luego usó un puerto USB en la placa base para cargar su propio software, que cambió la pantalla del dispositivo, tocó una melodía e hizo que la máquina escupiera dinero.
También se llevó a cabo un ataque al dispositivo Tranax, que está diseñado para aceptar actualizaciones de software a través de un enlace telefónico de Internet. Jack demostró que una vulnerabilidad en el software de la máquina le permitía eludir su sistema de autenticación e ingresar de forma remota.
Jack dijo que es posible encontrar cajeros automáticos usando una computadora para llamar a un número de teléfono tras otro; pudo localizar numerosas máquinas en un par de horas buscando a través de un intercambio de 10,000 números. Un atacante podría aprovechar la vulnerabilidad del software para instalar un software de control conocido como rootkit. Para retirar dinero, el atacante visitaba el cajero automático más tarde con una tarjeta falsa o robaba información de otros usuarios.
Jack instó a los fabricantes a mejorar las cerraduras físicas que protegen las placas base de los cajeros automáticos y deshabilitar la capacidad de actualizar el firmware de forma remota. También sugirió que el código de los dispositivos se revisara a fondo. Quiero cambiar la forma en que la gente ve los dispositivos que aparentemente son impenetrables, dijo.
Bob Douglas, vicepresidente de ingeniería de Triton, dijo que la compañía ha desarrollado una defensa contra el ataque de Jack. La solución se lanzó en noviembre del año pasado, pero Douglas no pudo decir qué porcentaje de clientes la había implementado. Agregó que la compañía planea revisar su código y vende cajeros automáticos con la opción de un candado de mayor seguridad. Jack dijo que también ha estado en contacto con Tranax sobre las vulnerabilidades que encontró en sus máquinas.