Cuando en la Blackhat de este año, el investigador Barnaby Jack demostró como podía cargar código no autorizado en un cajero automático y vaciarlo de todo el efectivo que tuviese disponible, muchos empezamos a preguntarnos cuando empezaríamos a ver técnicas similares en un escenario cotidiano. Para quien no viera la demostración de este investigador, la mostramos a continuación:
Si bien los ataques a cajeros automáticos no son ninguna novedad, lo que veníamos observando hasta el momento era el uso de técnicas de skimming sobre los mismos cajeros automáticos. Esto consistía en conseguir los datos de los usuarios de los cajeros por medios mecánicos que incluían lectores falsos de tarjetas, teclados que suplantaban al original o dispositivos móviles encargados de tomar fotos y videos de las pulsaciones de los usuarios al introducir su pin y enviarlos a los delincuentes.
No obstante, en el caso que nos atañe, los delincuentes infectaban directamente el cajero automático, y no solo uno, sino todos los de la ciudad rusa de Yakutsk, de 250.000 habitantes aproximadamente. Esta banda estaba bien organizada y cada componente de la misma conocía bien su función. Según informaron las autoridades rusas mientras uno de los componentes de la banda conseguía el acceso a los caeros automáticos, otro se encargaba de infectarlos mientras que el tercero se encargaba de recoger el dinero. También se identificó una cuarta persona que sería la que programó el código malicioso por encargo.
En este caso se seguía usando la técnica de robar datos de cuentas bancarias de los usuarios que introducían sus tarjetas en cualquiera de los cajeros infectados. No obstante, la magnitud de la operación y la profesionalidad con la que se llevó a cabo nos hace sospechar que no será la última vez que oigamos hablar de casos similares, si bien es muy probable que estos sean a menor escala.
Con respecto a la seguridad de los cajeros automáticos, cabe recordar que, aunque la mayoría de ellos no permiten el acceso no autorizado desde la propia red interna del banco, solo hace falta tener un compinche con los permisos necesarios trabajando en el banco para conseguir acceder a estas terminales. Esto, unido a que muchos cajeros automáticos aun siguen usando sistemas operativos obsoletos y con muchas vulnerabilidades por corregir, hace que sean una presa muy apetecible para los delincuentes.
Desde el departamento técnico de Ontinet.com nos gustaría recordar la importancia de avisar a nuestra entidad bancaría si vemos algún dispositivo o funcionamiento anómalo cuando vayamos a sacar dinero en un cajero. Avisar lo antes posible puede evitarnos sobresaltos inesperados en nuestra cuenta corriente y ayudaremos a las entidades bancarias a mejorar la seguridad de estos terminales.
Josep Albors