Prije tjedan dana u Splitu se dogodila neobična pljačka. Nepoznati je lopov ukrao preko 200.000 kuna iz bankomata, koristeći - laptop! Proteklih smo godina u Hrvatskoj imali više primjera pljački bankomata uz pomoć plinskih eksplozija, ali sada smo dobili i zoran primjer tehnički obrazovanijeg napadača. Lopov je uspio skinuti prednji dio ploče bankomata i potom se laptopom povezao s upravljačkim komandama i jednostavno 'naredio' bankomatu da mu "ispljune" veliku količinu novca. Takvu hakersku radnju kibernetički stručnjaci nazivaju "jackpotting" jer napadači pritom bankomat natjeraju da im doslovce izbaci jackpot u gotovini.
O tome koliko su zapravo bankomati danas izloženi napadima čuli smo detaljno prije nekoliko dana na konferenciji IBM-a Think u Beogradu.
IBM stručnjaci su opisali kako su bankomati često nedovoljno zaštićeni zastarjelim softverom pa i fizičkom zaštitom (izloženi kablovi, nedovoljno jake brave, nedostatak firewalla...). Tako su se dugo u bankomatima znali koristiti Windows NT, a banke su znale biti nevoljke u mijenjanju softvera jer su - funkcionirali.
No, danas se i to mijenja pa je većina bankomata na novijim operativnim sustavima. O ovim temama razgovaramo s Vladanom Nikolićem, dugogodišnjim članom IBM-ovog elitnog tima za testiranje sigurnosti X-Force Red. Taj odjel čine dobro hakeri koje kompanije unajmljuju da bi simulirali cyber napade i tako pronašli ranjive točke u obrambenim sustavima.
Koliko su danas bankomati sigurni?
- Uopće nije problem s fizičkom sigurnošću jer je bankomat uvijek izložen na javnom mjestu, nego sa fizičkim pristupom. Ono što se često događa je da su USB portovi bankomata na neki način dostupni. I onda napadač može tipkovnicu povezati s USB portom i tako preuzeti kontrolu. Isto tako može i u sustav upasti preko mreže.
Nisam primijetio baš da su USB-ovi izloženi na bankomatima?
- U zadnje vrijeme i nisu, ili barem nisu tako vidljivo izloženi. Skrivaju se iza tastature, ali lopovi nekad znaju izbušiti rupu u bankomatu. USB portovi općenito nisu sasvim osigurani na adekvatan način, da su uklonjeni, zaliveni, onemogućeni za upad na bilo koji način.
Mogu se bankomati i online hakirati?
- Nije nemoguće, to ovisi od mreže i konfiguracije kako je uređena. Bankomat je u biti standardni PC, sve radnje koje postoje na računalu postoje i na bankomatu.
I stvarno je na većini bankomata Windows NT?
- Sada više ne, nekada je to bio standard. Jednom smo prije par godina našli jedan bankomat s Windows NT sustavom. Iznenadili smo se jer to više danas nije standard. Ali i takvi bankomati funkcioniraju, ima i slučajeva kada se koriste i po 15 godina i slučajeva kada se ne zamjenjuju što je iznenađujuće. Noviji bankomati su obično na operacijskim sustavima Windows 7, Windows 10 ili Linuxu.
U zadnje vrijeme vidimo kako ih banke montiraju u zid i izloge, pomaže li to sigurnosti?
- To svakako pomaže jer otežava posao napadaču. Poznat je i slučaj u Irskoj gdje možete pronaći YouTube video u kojem čovjek bagerom vadi bankomat i stavlja ga u kamion. Ovisi samo koliko je truda vremena i sredstava potrebno napadaču. Važno je imati vanjske kontrole bankomata kao monitoring i detektor potresa. Recimo, sve senzore koji postoje na mobitelima bi trebali znati iskoristiti, zašto iste senzore ne bismo imali i u bankomatima. Sigurnost ovisi o tome koliko dobro nadzirete bankomat i koju tehnologiju i pristup koristite.
Koliko su sigurni bankomati u našoj regiji, u odnosu na ostatak svijeta?
- Teško mi je na to odgovoriti jer takve statistike nitko ne objavljuje. Moj odgovor bi bio spekulacija.
Zovu li vas često zovu iz banaka za provjeru bankomata?
- Imamo dosta zahtjeva za testiranjem bankomata. To je dobro jer znači da se povećava svijest o problemima i samim time korisnici postaju sigurniji. Na konferenciji Black Hat u Americi naš tim stručnjaka je demonstrirao jackpotanje bankomata - riječ je o situaciji kada bankomati ispljunu novac bez prave transakcije. Naravno, napravili smo to u testnom okruženju, ali tako i naši timovi rade kada smo na terenu.
Kad bi banka poslušala sve mjere koje vi preporučite, bi li tada bankomat bio posve siguran?
- Bulletproof zaštita u securityju ne postoji. Možete samo biti "dovoljno" sigurni. Sve ovisi o tome koliki ste vi spremni prihvatiti rizik. I sada dok mi razgovaramo može se dogoditi da se strop sruši na nas, nije baš sigurno da će se to dogodili, ali postoji mala vjerojatnost. Uvijek polazimo od toga da ništa nije apsolutno sigurno, ali možemo pomoći da bude sigurnije. Pristup slojevitog osiguranja je važan, ako prvi sloj obrane i padne, i dalje postoje zaštite. Dobro bi bilo da postoji video nadzor i da netko prati uživo što se događa. Sve to otežava posao potencijalnim napadačima i čini njihovu prijetnju manje uspješnom.
Koristite li vi osobno uopće bankomat onda?
- Nemam ja nikakvih problema s bankomatima. Samo imam svoju "sigurnu" proceduru prilaska bankomatu. Dakle, prvo bankomatu prilazim svojim mobitelom i provjeravam je li uključena kakva Bluetooth komunikacija na tom prostoru.
Niste sumnjivi zaštitarima? Na što sve korisnici trebaju obratiti pažnju prilikom podizanja novca na bankomatima?
- Nisam sumnjiv zapravo, nisam dosad imao problema. U mojoj banci su se već naviknuli na mene. S obzirom na to da radim na području sigurnosti ja uvijek pristupam bankomatu tako da skeniram da bankomat nema instaliran skimmer jer nekada takvi uređaji koriste bluetooth. Ono što je važno i na što korisnici bankomata moraju obratiti pažnju je da je bankomat pravi i da je pričvršćen uz podlogu. Znate, bilo je primjera kada su lopovi napravili lažni bankomat od kartona koji je izgledao jednako kao normalan bankomat. Vi ubacite karticu, a bankomat izbaci grešku kao da nema novca ili izgleda kao da ne može očitati vašu karticu. A upravo tako je zapravo očitana vašu kartica i vaš PIN. Slijedom toga iznimno je važno i da obratite pažnju da nema čudnih dodataka na tastaturi ili čitaču kartica. Znači, kao sigurnosna mjera dobro je pregledati utore za karticu da nema skimmera, provjeriti postoji li video nadzor, ali i da nema slučajno kamere koje je skrivena, a mogla bi snimiti vaš PIN, zaključuje Nikolić, koji kažu da nekada oprezniji korisnici i malo šutnu bankomat da se uvjere da je pravi...
Opet riječ naša regija, koja regija, Bavarska ili Koruška?