В России выявлена новая схема хищения денег с помощью банкоматов

В России зафиксирован новый способ атаки на банкоматы, основанный на несовершенстве сценариев обработки переводов с карты на карту с использованием таких устройств. Об этом говорится в «Обзоре основных типов компьютерных атак в кредитно-финансовой сфере в 2018 году», опубликованном на сайте ЦБ.

По данным ФинЦЕРТ (Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере, это структурное подразделение департамента информационной безопасности ЦБ), ожидавшегося ранее всплеска TRF-атак (transaction reversal fraud — мошенничество с отменой трансакций) не произошло, однако был зафиксирован новый способ такой атаки, основанный на несовершенстве сценариев обработки переводов с карты на карту с использованием банкоматов.

Упрощенно данный вид TRF-атаки выглядит следующим образом:

• в банкомате выбирается тип операции — перевод Р2Р (от клиента к клиенту), указывается номер карты получателя;
• банк-инициатор (владелец устройства самообслуживания) одновременно направляет два авторизационных сообщения: банку-получателю и банку-отправителю;
• инициатору практически одновременно приходит одобрение от обоих банков (в том случае, если операция возможна, то есть имеется необходимое количество денежных средств на балансе карты отправителя);
• выполняется фактический перевод: увеличивается сумма на карте получателя, одновременно с этим холдируется такая же сумма у отправителя (сценарий Р2Р-перевода в банкомате при этом еще не закончен);
• банкомат «спрашивает» у отправителя о согласии на списание комиссионных за операцию;
• отправитель не соглашается, поэтому банк-инициатор отправляет сообщение о возврате в банк-отправитель и банк-получатель;
• «холд» со счета отправителя снимается, вместе с тем средства уже выведены получателем.

Эксперты ЦБ подчеркивают, что основным способом минимизации рисков такой атаки является проверка корректности сценария работы банкомата: «для банка — владельца АТМ — мониторинг операций типа Reversal, а также следующие изменения в сценарии: отправка сообщения 0400 «Возврат» в банк отправителя должна происходить строго после успешного завершения операции 0400 «Возврат» в сторону банка получателя».

Кроме того, как указывают в ЦБ, в России по-прежнему фиксируются атаки типа blackbox, а также попытки атак типа «прямой диспенс».

Атака blackbox обычно начинается со вскрытия передней панели банкомата и подсоединения некоего стороннего устройства. Чаще всего такое устройство представляет собой переходник — конвертер интерфейсов. Переходник через USB-кабель подключается к портативному компьютеру. Как правило, это недорогие, бывшие в употреблении нетбуки, которые злоумышленникам не жалко бросить на месте проведения атаки. На компьютере установлена программа удаленного администрирования, например TeamViewer, с помощью которой подключается находящийся на удалении сообщник (либо организатор), запускающий программу, которая взаимодействует с диспенсером банкомата.

«От подобного рода воздействий может дополнительно защитить включение шифрования данных, передаваемых между диспенсером и системным блоком банкомата, однако на старых банкоматах или расположенных в удаленных от федерального центра регионах оно применяется не всегда», — отмечают в ЦБ.

По данным компании Positive Technologies, которая участвовала в подготовке обзора ЦБ, основные типы атак, которые были зафиксированы в России в 2018 году, — это blackbox (подразумевает возможность напрямую подключить к диспенсеру свое устройство, запрограммированное на отправку команд для выдачи купюр) и доступ к банкомату изнутри локальной сети банка.

Результаты анализа защищенности банкоматов, который проводился в 2017—2018 годах, показывают, что к атаке типа blackbox уязвимы 69% банкоматов. Причина в 50% случаев — использование недостаточно надежного шифрования между диспенсером и операционной системой, еще в 19% — отсутствие мер защиты против blackbox.

Также сообщается, что доступ к управлению банкоматами из внутренней сети в ходе тестов удалось получить в 25% банков из-за низкого уровня защищенности в их внутренней сети. Кроме того, во всех исследуемых банкоматах был возможен перехват данных с магнитной полосы карты.