دستگاه‌های خودپرداز ناامن و قابل هک

به گزارش واحد امنیت سایبربان؛ محققان شرکت امنیتی کسپرسکی لب در حال بررسی این مسئله هستند که چه چیزی دستگاه‌های خودپرداز را به یک طعمه سهل و آسان برای هکرها تبدیل کرده است. آن‌ها دو علت را باعث این ماجرا می‌دانند: هر دو بخش نرم‌افزاری و سخت‌افزاری ATM ها دارای ضعف هستند و این مسئله هک آن‌ها را حتمی می‌سازد.

به گفته محققان، دستگاه‌های خودپرداز معمولاً از سیستم‌عامل‌های قدیمی مثل ویندوز XP استفاده می‌کنند و این مسئله باعث می‌شود آن‌ها نسبت به حملات مخرب و یا سوءاستفاده‌ها آسیب‌پذیر شوند. همچنین در بسیاری از موارد، دستگاه‌های خودپرداز از طریق یک استاندارد XFS قدیمی و ناامن با زیرساخت‌های بانکی ارتباط برقرار می‌کنند.

مشکل این است که XFS برای دستوراتی که مورد پردازش قرار می‌دهد به هیچ مجوزی نیاز ندارد و هر برنامه نصب‌شده و یا راه‌اندازی شده بر روی یک دستگاه خودپرداز، می‌تواند دستورها را به دیگر واحدهای سخت‌افزاری ATM ازجمله کارت‌خوان و توزیع‌کننده یا بیرون دهنده پول نقد ارسال نماید.

اگر یک دستگاه خودپرداز با موفقیت آلوده شود، اساساً هکرها امکان هر کاری پیدا می‌کنند. مشکل دیگر مربوط به سخت‌افزار است. ظاهراً می‌توان به پی سی داخلی ATM و یا به کابل شبکه‌ای که ATM را به اینترنت متصل می‌سازد، به‌راحتی دسترسی فیزیکی پیدا کرد. این دسترسی به هکرها اجازه می‌دهد به نصب یک میکرو رایانه به نام جعبه سیاه بپردازند و از آن طریق امکان دسترسی از راه دور را از آن خود کنند و یا باعث اتصال مجدد ATM به یک مرکز پردازش مخرب شوند.

یک محقق امنیتی شرکت کسپرسکی لب می‌گوید: نتایج تحقیقات ما نشان می‌دهد اگرچه بسیاری از شرکت‌ها در حال حاضر به دنبال توسعه و ساخت دستگاه‌های خودپرداز با ویژگی‌های امنیتی قوی‌تر هستند، اما هنوز هم بسیاری از بانک‌ها از مدل‌های قدیمی ناامن استفاده می‌کنند. این مسئله باعث می‌شود مجرمان، امنیت این دستگاه‌ها را به‌راحتی به چالش بکشند.

این مشکل باعث شده بانک‌ها و مشتریان آن‌ها دچار ضرر و زیان‌های کلان مالی شوند. ما همیشه تصور می‌کنیم مجرمان سایبری تنها به راه‌اندازی حملات سایبری علیه بانکداری اینترنتی علاقه دارند اما آن‌ها به این‌گونه حملات نیز تمایل زیادی دارند و به‌طور فزاینده‌ای از بهره‌برداری از آسیب‌پذیری‌های خودپردازها لذت می‌برند زیرا حمله مستقیم به چنین دستگاه‌هایی مسیر آن‌ها برای رسیدن به پول واقعی را کوتاه می‌کند.
کسپرسکی لب توصیه کرده در مورد استاندارد XFS دستگاه‌های خودپرداز باید یک تجدیدنظر اساسی نمود، از احراز هویت دوعاملی استفاده کرد، برای حذف حملات از طریق مراکز جعلی باید authenticated dispensing یا تائید اعتبار به هنگام برداشت وجه نقد را پیاده‌سازی کرد و باید انتقال اطلاعات بین واحدهای سخت‌افزاری به‌خوبی با رمزنگاری محافظت شود.