As caixas automáticas, ou ATM, sempre foram alvos apetecíveis para os criminosos. No passado, assaltar um ATM implicava recorrer a ferramentas pesadas como maçaricos e explosivos. No entanto, com o advento da Era Digital, tudo mudou.
Atualmente, os criminosos podem atingir o mesmo objetivo sem aquele tipo de efeitos especiais, basta instalar malware no sistema, utilizar hardware criado para o efeito e conectado através de USB ou mesmo atacar os equipamentos através da Internet.
Segundo os especialistas em segurança Kaspersky os “sistemas operativos antiquados, programas desatualizados, um complexo acesso ao depósito e dispensador de notas (quase sempre blindados e bloqueados) mas relativamente fácil ao computador que manda no ATM, são algumas das vulnerabilidades mais comuns-
Durante o congresso Security Analyst Summit 2016 da Kaspersky Lab, Olga Kochetova, especialista em testes de infiltração da Kaspersky Lab, explicou os motivos pelos quais os caixas são tão vulneráveis, na sua palestra “Formas de assaltar ATMs, com e sem malware.”
A Kaspersky Lab considera que bancos e fabricantes de ATM deviam dar mais atenção à segurança das máquinas bancárias. É urgente que reconsiderem tanto o software e medidas de segurança de hardware, como a criação de uma infraestrutura de rede segura. Também é importante que os bancos e fabricantes reajam rápidos na reação às ameaças e colaborem intensivamente com agências reguladoras da lei e empresas de segurança.
1. Em primeiro lugar, os ATM são basicamente computadores. Consistem num número de sistemas eletrónicos, incluindo controlos industriais, mas há sempre um computador comum no núcleo do sistema, muitas vezes antiquado ou obsoleto;
2. É provável que esse computador seja controlado por um sistema operativo antigo, como o Windows XP. Este é apenas um exemplo de um sistema operativo que já não tem suporte por parte do fabricante, no caso, a Microsoft. Na prática significa que qualquer vulnerabilidade encontrada depois de o suporte ter sido interrompido jamais será corrigida;
3. É provável que existam programas vulneráveis a serem executados em sistemas de ATM. Desde flash players desatualizados com mais de 9000 erros conhecidos até ferramentas de administração remota e muito mais;
4. Os fabricantes de ATM tendem a assumir que estes operam sempre em “condições normais” e que dificilmente algo de errado acontecerá. Desse modo, dificilmente existe qualquer controlo de integridade do software, solução de antivírus ou autenticação por aplicação que envie comandos para o dispensador de notas;
5. Ao contrário do que acontece com as unidades de depósito e entrega de dinheiro, que estão sempre bem protegidas e trancadas, a parte do computador de um ATM é facilmente acessível. As medidas de segurança aplicadas não são suficientes para deter os cibercriminosos, já que o computador se encontra protegido unicamente por uma carcaça de plástico ou feita de metal fino;
6. Módulos de ATM estão conectados com interfaces padrão, como portas COM e USB e, por vezes, essas interfaces são acessíveis de fora da cabine do ATM:
7. Por natureza, as ATMs tem de estar sempre online. Sendo a Internet o meio mais barato de comunicação nos dias de hoje, os bancos usam-na para conectar os ATM aos centros de processamento.
Este conjunto de vulnerabilidades permitem alguma margem de manobra aos criminosos que podem, por exemplo, criar um malware, instalá-lo no sistema do ATM e retirar dinheiro, como foi o caso do malware Tyupkin, descoberto há um ano pela Kaspersky.
Podem também utilizar programas adicionais ligados às portas USB das caixas automáticas. Para demonstrar a sua ideia, Olga Kochetova e Alexey Osipov usaram um pequeno computador Raspberry Pi, equipado com adaptador Wi-Fi e bateria.
Um ataque através da Internet pode ser ainda mais perigoso. Os criminosos podem estabelecer centros de processamento de dados falsos, ou tomarem o controlo de um verdadeiro. Neste caso, os criminosos podem roubar diversos ATM sem precisar de ter acesso ao seu hardware. Foi exatamente isso que os hackers do grupo Carbanak o fizeram: obtiveram controlo sobre PC críticos nas redes de bancos e, depois disso, foram capazes de enviar comandos diretos para os ATM.
