Банкоматы упростили финансовые операции и стали важной точкой соприкосновения между клиентами и банками. Согласно последним исследованиям розничных банковских отчетов, сегодня в мире более 2 млн ATM, а к 2015 году их будет уже 3 млн.

Популярность среди потребителей, простота использования и прямой доступ к наличным деньгам  делают банкоматы объектом номер один в списке мошенников. Этот факт в сочетании с высоким уровнем посткризисной безработицы привел к увеличению числа преступлений, так или иначе связанных с этим оборудованием. Все более изощренными становятся копирование информации с магнитной полосы карточки (скимминг), установка ловушек для купюр в банкомат, хакерские атаки. Все эти факторы привели к значительным потерям наличности за последние годы.

По данным исследования 2009 года почти 70 % финансовых учреждений зафиксировали повышение количества жалоб на мошенничество с банкоматами и платежными картами в 2008 году по сравнению с 2007. Ожидалось, что в результате рецессии 2009 г., картина станет еще хуже, но эти опасения не оправдались. ATM-мошенничества в Европе упали на 14 %, и по данным промышленной группы «Восток» (European ATM Security Team) составили в 2010 г. 268 млн. евро.

«Снижение потерь от мошенничества  – очень хорошая новость для держателей карт и вообще для всей банковской индустрии, – говорит директор промышленной группы «Восток» (European ATM Security Team) Лафлин Ганн. – Это снижение указывает на то, что значительные инвестиции, сделанные Европейским банковским сектором в технологии EMV (чиповые карты), а также борьба со скиммингом  в настоящее время действительно начинают приносить плоды».

Атаки на банкоматы делятся на физические нападения и на ATM- мошенничества. Физические нападения, как правило, совершаются с целью получения доступа к наличности или другим ценным активам, находящихся в сейфах банкоматов. Некоторые из наиболее распространенных методов включают увоз банкомата, взрыв (с употреблением газа или без него), вскрытие (с использованием роторной пилы, паяльной лампы, термобурения или алмазной резки). Успех физического нападения определяется количеством украденного и скоростью, с которой совершается атака.

Что касается АТМ-мошенничества, то здесь есть много различных категорий. Говоря обобщенно, мы можем подвести под эту категорию любую сознательно реализуемую «криминальную» технику, которая позволяет преступнику извлечь «выгоду» из банкомата. Наиболее распространенными видами АТМ-мошенничества являются кража карточки (т. н. «ливанская петля»), кража PIN (т.н. «заплечный серфинг»), скимминг (копирование информации с магнитной полосы карточки), установка ловушек для купюр в банкомат (т.н. «ловушка для налички»), «отмена операции» и мошенничество при депозитных операциях.

Эксперты по вопросам безопасности банкоматов считают скимминг одним из наиболее распространенных видов АТМ-мошенничества. Скимминг предполагает создание копии информации, закодированной на магнитной полосе карты. Скимминг-устройство может быть присоединено к АТМ-слоту извне или поджидать вашу карточку непосредственно внутри банкомата. Устройства для скимминга имеют различные формы и размеры, а также различаются по сложности и конфигурации. При наиболее изощренной установке они не прерывают нормальную работу банкоматов, карта держателя вводится в банкомат и возвращается к владельцу, однако с магнитной полосы копируется нужная мошеннику информация. Одно из наиболее эффективных устройств для скимминга известно как «софийский вариант». Приспособления опытных скиммеров почти невозможно обнаружить невооруженным глазом.

Но какими бы сложными не были мошеннические приспособления, многие банки и международные компании успешно ведут борьбу со скиммингом с помощью технологических инноваций. В настоящее время в Европе происходит более 20 млн операций ежедневно с использованием технологии CPK+ компании TMD Security, лидерa в области технологий по борьбе со скиммингом. Этот успех объясняется применением инновационной защиты изнутри. Технология CPK+ совместима со всеми типами банкоматов и терминалов самообслуживания, она легко устанавливается и не нуждается в дополнительной корректировке программного обеспечения. Технологии от TMD Security успешно предотвращают скимминг на долгосрочной основе и пользуются повышенным спросом на рынке вот уже пять лет.

Мошенники также пытаются получить доступ к наличным деньгам с помощью разнообразных компьютерных программ. Вредоносное ПО вводится в банкомат посредством сетевых атак или с помощью других зараженных устройств. После проникновения в ПО банкомата, вредоносное программное обеспечение будет собирать информацию с карты и PIN-кода. Взломанный банкомат физически ни чем не отличается  от «здорового», и пользователи никак не узнают об опасности.

Финансовые институты защищаются от такого рода угроз с помощью современных ИТ-решений. Например, таких как программы, предоставляемые NCR – ведущим поставщиком решений для ATM. Продукты, подобные Solidcore для Aptra компании NCR останавливают введение несанкционированного кода в банкомат, защищая систему от скимминга с использованием вредоносного ПО. Более ста финансовых институтов обеспечили себе защиту с помощью Solidcore для Aptra.

Вместо того чтобы реагировать на разнообразные атаки по мере их появления, Solidcore для Aptra действует проактивно, позволяя банкомату выполнять исключительно авторизированные команды. В частности, Solidcore для Aptra создает и обновляет учетную запись «хороших» кодов и позволяет загружаться только тем кодам, которые проиндексированы в учетной записи, или «белом списке». Естественно, авторизированный код не может быть модифицирован, удален или подменен вредоносным ПО.

Несмотря на вышеописанные угрозы, каждый день по всему миру безопасно проводятся миллионы ATM-операций . По сравнению с огромным количеством успешных транзакций с использованием 2 миллионов банкоматов по всему миру, только очень небольшой процент оказывается связан с криминалом.

Елена Макрис, менеджер по глобальным решениям в сфере банкоматов, Printec Group

По данным Cards Business Review, список стран с высоким уровнем пластиковой преступности возглавляет Украина — 19% всех случаев мошенничества, далее следуют Индонезия — 18,3%, Югославия — 17,8%, Турция — 9% и Малайзия — 5,9%

 

Эксперты о защите банкоматов

Борис Шаров, генеральный директор «Доктор Веб»

Человеческий фактор

Разработки нашей компании в банковских системах, в том числе при использования для ATM присутствуют не самых разных уровнях. Наша «встреча» с вирусами для банкоматов произошла именно в Украине, когда в одном из банков из любопытства технического персонала была проведена проверка новой партии АТМ. Все банкоматы оказались заражены. Судя по всему технологический процесс и контроль качества оборудования не включал в себя антивирусной проверки.

Есть множество подобных случаев. Что касается антивирусной защиты для банкоматов можно сказать следующее – присутствие ее не лишнее. Более того, наши беседы с дистрибьюторами банкоматов говорят о том, что его наличие обязательно и это требование международных стандартов безопасности. В общем, в этом нет ничего удивительного.

Еще один вопрос, который хотелось бы затронуть. Считается, что антивирусное ПО снижает скорость работы приложений. Для ATM это критично. Поэтому некоторые банки смотрят сквозь пальцы на наличие антивирусной защиты, считая, что главное – выполнение основной функции, возложенной на автомат, – выдавать деньги. В результате заражения имеют место быть, хотя и не в массовом порядке.

Для таких приложений подготовили специальный релиз антивирусного ПО, минимально нагружающих банковское оборудование. В нем учтено, что возможный набор векторов атаки меньше чем при работе обычного ПК. Здесь мы имеем обычную файловую систему, для которой необходимо проводить сканирование и мониторинг файловых операций для своевременного блокирования несанкционированных операций.

 

Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского»

Основные опасности

Учитывая, что на сегодняшний момент ОС Windows стала де-факто операционной системой не только для персональных компьютеров, но и для платёжных терминалов, информационных табло и банкоматов, то на этих устройствах могут функционировать любые вирусы и черви, созданные для атаки на ОС Windows.

О первых троянцах для банкоматов стало известно в 2009 году. В течение прошедших трёх лет в руки антивирусных компаний попало еще порядка десяти экземпляров подобных вредоносных программ, модифицированных злоумышленниками для обхода систем защиты и исправления некоторых ошибок.

При этом нужно понимать специфику создания вредоносного кода под такие системы: разработать вирус для них способен только технически грамотный человек, понимающий устройство аппаратуры и имеющий непосредственный доступ к оборудованию для проведения анализа и тестирования своего вируса.

Есть два пути доступа к банкомату: флешка и сеть. Специальная флешка может быть использована или инсайдером, или просто техническим специалистом, который может и не догадываться о её заражении. Специально или по неосторожности терминал всё равно окажется в руках злоумышленников. То же самое справедливо и для заражения через сеть. Ошибки при проектировании, настройки безопасности могут быть использованы или инсайдерами или злоумышленниками напрямую.

Последствия заражения банкоматов могут быть самыми серьезными для пользователей. По опыту первого такого случая можно сказать, что проработав несколько месяцев, зараженные банкоматы передавали своим «хозяевам» всю информацию, необходимую для снятия денег со счетов всех клиентов банков, которые пользовались такими банкоматами.

В данном случае эта проблема касается не банков как таковых, а компаний-производителей банкоматов и софта для них. Выход заключается в том, чтобы реализовывать более сложные и защищенные механизмы защиты банкоматов как на физическом, так и на программном уровне. Возможно, использовать специальные антивирусные решения.

Говорить о будущем подобных атак – сложно. Так как на сегодняшний день подобные сценарии имеют скорее единичный и концептуальный характер. Вероятнее всего, преступники могут пойти по пути создания полностью поддельных банкоматов, вместо проникновения в настоящие.

 

Алексей Гребенюк, старший консультант по информационной безопасности компании Sysnet Global Solutions

Угрозы и защита

Во всем мире наметилась устойчивая тенденция к росту карточных хищений. По данным Cards Business Review, список стран с высоким уровнем пластиковой преступности возглавляет Украина — 19% всех случаев мошенничества, далее следуют Индонезия — 18,3%, Югославия — 17,8%, Турция — 9% и Малайзия — 5,9%. В Соединенных Штатах, где карточный оборот весьма велик, совершается лишь 1,7% всех преступлений. Это понятно, поскольку целью любого киберкриминалитета являются деньги. Для их отъема придумываются и используются многочисленные методы и технологии — пишутся вредоносные программы, взламываются сервера предприятий, крадутся персональные данные и т.п. Сегодня ясно, что киберпреступность — это большой бизнес, на оброт денег которого зачастую больше, чем в торговле наркотиками, а риски быть пойманным и наказанным при этом существенно меньше.

Публичность и доступность АТМ и есть основная причина того, что они являются  предметом массовых внешних фродов  для банков. Вначале «эпохи скимминга» банки в массе своей оперировали понятиями физического скимминга. Тема актуальная, но весьма сложная в реализации. Хотя в целом рискует дроп (лицо, устанавливающее и снимающее банкоматные накладки), но затраты на операции все же присутствуют и должны покрываться.. Тогда  — видимо – впервые и возникла мысль о программном скимминге. Ведь драйвер card – in – считывает полностью магнитную полосу платежной карты….. Банкоматы и платежные терминалы быстро переходят на системы с элементной базой Intel, операционные системы на базе Microsoft Windows и используют протоколы TCP/IP. Все это серьезно увеличивает риски атак на данные устройства, прецеденты которых уже были.

Первый вирус в банкоматах «засветился» в августе 2003 г. В США: несколько банкоматов Diebold, работающих под управлением ОС Windows XP Embedded, оказались заражены вирусом Welchia. Никакого заметного вреда он не принес: вредонос лишь генерировал паразитный трафик, пытаясь заразить другие подключенные к банкоматной сети АТМ. В итоге из-за перегрузки каналов связи некоторое количество банкоматов временно вышло из строя. Вирус использовал «дыру» в функции удаленного вызова процедур (RPC) интерфейса DCOM. Эта «дыра» была закрыта соответствующим патчем Microsoft. Компания Diebold распространила патч среди своих клиентов, и – во избежание повторения подобных инцидентов! – начала оснащать свои банкоматы встроенным брандмауэром. Но это скорее показатель неосведомленности администраторов банкоматной сети  о требованиях безопасности брендов международных платежных систем.

Чтобы стать успешным на этом направлении киберпреступникам начали разрабатывать индивидуальные или, как принято говорить, целевые (таргетированные, от анг. targeted) атаки.

Хорошим примером целевой атаки является взлом платежной системы RBS WorldPay в ноябре 2009 года, когда в банкоматах 280 городов мира за 15 минут была украдена сумма, приблизительно равная 9 млн. долл. США.

Первый троян для банкоматов, разработанный под платформу DieBold Agilis, как раз и реализует принципы программного скимминга. Хотя заложенные разработчиками возможности существенно шире…. Что говорит как минимум о широкой осведомленности разработчиков о программной «нвачинке» конкретного АТМ.

Представляет собой комплекс для считывания и хранения Full stripe и перехвата PIN – кода. Технически заложена функциональность инкассации диспенсера. Разработан предположительно в России или Украине. Первые случаи заражения зафиксированы в ноябре – декабре 2008 года, однако подтверждение (обнаружение в среде) было получено 17 января 2009 года. Информация о уязвимости была размещена на сайте вендора.

Перехваченные данные сохраняются в памяти и могут выдаваться при считывании мастер – карты типа Энтерпрайз или мастер – карты ограниченной функциональности. Данные могут при этом распечатываться на принтере банкомата или выдаваться на экран При этом полная запись сохраняется только при запросе остатков по карточному счету.

Но не должно складыватьься впечатление, что уязвимы АТМ какого-то конкретного бренда. Технология уже отработана, значит, до появления новых семейств, «заточенных» под продукцию других вендоров осталось не так много времени. Специалистам по безопасности надо готовиться к новым целевым атакам….

Какие же варианты защиты программного комплекса АТМ и как следствие  — держателей карт? Первый и основной – установка средств безопасности на АТМ. Это сигнализация на дверцы сервисного зоны и средства информационной безопасности (межсетевой экран и средства борьбы с вредоносным кодом). При  этом следует очень внимательно следить за рекомендациями вендора, чтобы средства информационной безопасности из друга не превратились во врага. Ведь по сути сканирующий модуль антивируса ничем по сути не отличается от работы модуля трояна при выполнении операции card – in. Поэтому выходом в данном случае может быть применение средств информационной безопасноти, построенных на иных принципах, нежели простой сигнатурный анализ. Например – как описанные в данной статье и рекомендованные соответствующим вендором. Или разработанные независимыми производителями – такими как Safe‘n‘Sec TPSecureж McAfee SolidCore Kiosk and ATM Security & Control (SolidCore); SoftSphere DefenseWall etc.