Las vulnerabilidades de los cajeros automáticos permiten retiros ilegales de efectivo

Las vulnerabilidades de los cajeros automáticos permiten retiros ilegales de efectivo
Los investigadores de ciberseguridad han descubierto múltiples vulnerabilidades en el cajero automático utilizado por un conocido fabricante de cajeros automáticos que pueden explotarse para realizar retiros de efectivo. Las vulnerabilidades de los cajeros automáticos Wincor Cineo con cajeros automáticos RM3 y CMD-V5 fueron descubiertas por Vladimir Kononovich de Positive Technologies y el investigador independiente Alexey Stennikov. Los investigadores lograron eludir la protección contra los ataques de caja negra en los cajeros automáticos modernos accediendo al puerto USB del controlador del distribuidor, para instalar una versión de firmware desactualizada o modificada, lo que les permitió eludir el cifrado y realizar retiros de efectivo. Los investigadores señalan que Wincor es actualmente propiedad de Diebold Nixdorf, que es uno de los fabricantes de cajeros automáticos más grandes del mundo, con más de un millón de cajeros automáticos instalados, lo que le otorga alrededor del 32% de la participación del mercado mundial.

Dinero gratis

En una investigación de 2018, Positive Technologies demostró que aproximadamente el 69% de los cajeros automáticos son vulnerables a los llamados ataques de caja negra y se pueden ingresar en minutos. Sin embargo, los investigadores señalan que la generación actual de cajeros automáticos, incluido el Wincor Cineo, tiene protección incorporada contra los ataques de caja negra a través del cifrado de extremo a extremo entre la computadora del cajero automático y los boletos del cajero automático. “En el caso de Wincor Cineo, pudimos comprender el cifrado de comandos utilizado en la interacción entre la PC y el controlador, y omitir la protección contra ataques de caja negra”, señala Kononovich. Añade que los investigadores consiguieron el mismo controlador de distribución que se utiliza en los cajeros automáticos de Wincor en "un sitio web popular". Luego aprovecharon los errores en el código del controlador y las claves de cifrado antiguas para conectarse a un cajero automático utilizando su propia computadora, descargar firmware antiguo y omitir el cifrado. Kononovich dice que algunos fabricantes confían en la seguridad mediante la oscuridad y apuestan a que será difícil para los piratas informáticos introducir el hardware dentro de sus cajeros automáticos para encontrar las vulnerabilidades. "Sin embargo, nuestra investigación muestra que no es difícil encontrar y analizar este tipo de equipos en el mercado abierto, que puedan ser utilizados por grupos criminales", concluye Kononovich.