В банкоматах оказалось новое уязвимое крепость
10.08.2018
В наиболее популярных на российском рынке банкоматах NCR обнаружена серьезная уязвимость, которая позволяет устранять наличные через сейфовую часть устройства. Производитель банкоматов NCR устранил дефект еще полгода вспять, однако российские банки обновление не получили, а узнали об уязвимости лишь от корреспондента «Ъ». Пользователи банкоматов в случае успешной атаки могут предложить возмещения от его производителя. Если только их не остановят репутационные риски, связанные с появлением публичной информации об успешной хакерской атаке на копилка.
Как хакеры пустили в продажу дешевую пакетная программа для взлома ATM
К тому же, чтобы ее исправить, насущно устанавливать обновления программного обеспечения вручную на каждый банкомат. «Обновление достаточно сложное, нужно вводиться к каждому устройству, а это довольно проблематично, учитывая большую территориальную распределенность банкоматов»,— подчеркнул рецензент.
Эксперты Positive Technologies обнаружили уязвимость и сообщили о ней в главный офис NCR. 6 февраля 2018 лета NCR на своем сайте www.ncr.com вывесила пресс-релиз об устранении уязвимости, выпуск обновления и дала рекомендации его поставить. Российские банки, которые используют эти банкоматы, узнали об уязвимости от корреспондента «Ъ», и по их словам не получили и анаболизм программного обеспечения для ее устранения. Отметим, что весной этого года был зафиксирован резкий рост атак на банкоматы. Только-только в апреле с использованием технологии Black Box было атаковано десять устройств; для сравнения, за весь 2017 год — 21 (см. «Ъ» от 25 апреля).
В ряде атак злоумышленники использовали собственно обнаруженную уязвимость. «В апреле-мае мы зафиксировали несколько попыток атак на наши банкоматы с использованием техники Black Box,— рассказал командир департамента информационной безопасности МКБ Вячеслав Касимов.— Скорее всего, данная уязвимость использовалась в сих атаках». Атаки на банкоматы NCR с использованием Black Box наблюдаются c 2015 года, отметил эксперт, при этом курс подготовки исправлений у производителя не всегда позволяла эффективно справляться с угрозой. Банку удалось отковать атаки, пояснил Вячеслав Касимов, в МКБ для защиты применяются сторонние специализированные аппаратные средства защиты от Black Box, а тоже круглосуточный мониторинг и оперативное реагирование.
Однако неизвестно, насколько успешными были отражения атак в других кредитных организациях, чьи банкоматы злоумышленники пытались разворотить с использованием технологии Black Box. По словам Романа Бажина, информация о успешные атаки тщательно скрывается банками, так как слабит репутационные риски. В Банке России на вопрос о количестве атак на банкоматы с использованием технологии Black Box и их результативности плавать отказались.
NCR заявили, что сотрудничали с Positive Technologies в ходе расследования. При этом в компании утверждают, что «обнаруженные уязвимости были устранены и пополнение были предоставлены». Кроме информирования о обновление в начале года, компания возобновила их в августе «с учетом последней информации». Зато NCR не ответили на запрос «Ъ», почему кредитные организации своевременно не получили обновление.
Теоретически те, кто пострадал от связанных с эксплуатацией данных уязвимостей атак, могут показать иск к NCR по компенсации убытков. «Если у банка есть соглашение на обслуживание банкоматов, то в случае успешной атаки наперерез комучему них он может предъявить исковые требования о компенсации убытков к изготовителю, если сделка заключена с ним, или до сервисных центров, которые оказывают служба по их обслуживанию»,— отмечает глава АБ «Старинский, Корчаго и партнеры» Евгений Корчаго. Впрочем, в этом случае видимое дело атаки станет публичным, и кредитная организация будет выбирать, что ей дороже — репутационные риски или утоп денег из банкомата.
Почему мощная защита банковского сектора от хакерских атак скудно помогает гражданам
Читать далее
