Как взламывают банкоматы сбербанка и других банков

Взломать банкомат без болгарки

26 и 27 мая в Москве на международной конференции Positive Hack Days (phdays.ru) пройдет необычный хакерский конкурс: его участники будут взламывать банкомат. Организаторы этих конкурсов рассказали порталу Банки.ру о современных атаках на банкоматы, а также о том, как защититься от этих угроз.

К сейфу окольным путем

Все, наверное, слышали, что банкоматы нередко взрывают, вскрывают болгарками, увозят. Эти случаи находятся на виду. У банка не получится оставить в тайне инцидент такого рода. Но на самом деле банкоматы гораздо чаще взламывают «по-тихому», с помощью различных социотехнических навыков, а не деструктивных методов.

Один наш знакомый, работающий в банке, рассказал, что на одном из их банкоматов некоторое время не происходило никаких изменений счетчиков. Когда инкассаторы через пару недель пришли инкассировать банкомат, они увидели, что кассеты пустые. По счетчику количество денег в кассетах было нормальным, а на деле денег там не было. Стали смотреть записи видеонаблюдения и увидели, что пришел какой-то человек, открыл верхний отсек банкомата, вставил внутрь нечто, закрыл банкомат и ушел. Качество видео было недостаточным, чтобы рассмотреть, что он вставил и как открыл банкомат.

Попробуем разобраться в том, как это делается. Деньги находятся в сейфе и хорошо защищены (по мнению банков и производителей банкоматов). Сейф – это «бутерброд» из стали и бетона, более 1 см в толщину. В зависимости от взломоустойчивости, оснащается надежным замком: обычно это сувальдный замок, лимбовый или электронный кодовый. Чтобы открыть такой сейф, нужно либо иметь набор кодов и ключей, либо заручиться помощью «медвежатника», который с помощью особых инструментов выполнит эту задачу.

Однако в банкомате есть еще сервисная зона, где располагаются системный блок и различные периферийные устройства. Эта часть банкомата закрывается пластиковым корпусом с одним простеньким замком. Причем некоторые производители банкоматов ставили туда одинаковые замки, отрывающиеся одним и тем же ключом, – для удобства обслуживания. Сейчас вендоры и банки уходят от такой практики, но до сих пор встречаются банкоматы, которые можно открыть ключом от любого другого банкомата того же банка. Да и замки там по-прежнему простенькие.

Денег в сервисной зоне нет, зато там есть масса интересных возможностей по управлению подсистемами банкомата – в том числе и теми, что расположены в сейфе. Итак, пробуем!

Готовим взлом

Для начала мы решили использовать интерфейсы, которые расположены снаружи банкомата. Мы взяли микрокомпьютер Raspberry Pi, подключили к нему батарею питания, адаптер Wi-Fi и составили несколько программ для взлома. Найти документацию с описанием интерфейсов банкоматов оказалось несложно.

Оборудование банкоматов и платежных терминалов, независимо от производителя, имеет общий API (программный интерфейс. – Прим. ред.) для доступа и управления модулями и работает на платформе Windows в соответствии с единым стандартом расширений для финансовых услуг XFS.

Зная API, можно получить контроль над компьютером банкомата и напрямую управлять различными периферийными устройствами. Некоторые из этих устройств интересовали нас в первую очередь.

Клавиатура банкомата (пинпад). Она работает в двух режимах: в защищенном, в котором вводится ПИН-код и передается в компьютер банкомата в шифрованном виде, и в открытом, который используется для ввода суммы снятия и прочей информации. Установленный на компьютере XFS-менеджер может вынудить пинпад переключаться между режимами, что может позволить злоумышленникам получать вводимые ПИН-коды в незашифрованном виде.

Считыватель карт (картридер) умеет читать данные с полосы и записывать на нее, извлекать и информацию из EMV-чипа – например, данные о ранее совершенных трансакциях.

Диспенсер, устройство выдачи денег, наиболее интересен для хакера. С его помощью можно управлять перемещением денег, например из денежных кассет в кассеты отбраковки, разблокировать кассеты, выдавать банкноты без авторизации и даже открывать сейф, если он оснащен электронным замком.

Всеми этими устройствами управляет программа, запущенная на компьютере банкомата, – XFS-менеджер.

Можно было бы предположить, что здесь реализована серьезная аутентификация и доступ к XFS-менеджеру хорошо защищен. На деле ни о какой аутентификации речи нет. Спецификации можно найти в Интернете. Эксклюзивный доступ реализован, но не для безопасности, а лишь для того, чтобы не ломать нежные банкоматные «железки» – например, чтобы не посылать одновременно две команды на выдачу банкнот из диспенсера.

Стандарт XFS разработан в Microsoft, и это объясняет, почему на многих банкоматах до сих пор стоит Windows XP. Примерно год назад, на начало 2014-го, 95% всех банкоматов в мире работало под управлением Windows XP. При этом поддержка данной операционной системы закончилась в апреле 2014 года. То есть на банкоматах, управляемых Windows XP, огромное количество известных уязвимостей, которые уже никогда не будут устранены.

Есть банкоматы, в которых системный блок хранится в самом сейфе. Это хорошо с точки зрения безопасности, но спасает не всегда – ведь все равно наружу выходит порт для связи с сетью, а это уже вектор атак.

Возьмем, к примеру, известную уязвимость МС08-067. В каких-то банкоматах она может быть закрыта, так как уже не нова, но есть и другие подобные уязвимости. Она позволяет получить права администратора при сетевом подключении к компьютеру. Берем наш Raspberry Pi и подключаем к сетевому порту системного блока банкомата. Причем нам даже не нужно открывать сервисную область, можно использовать выведенный наружу порт, служащий для подключения банкомата к сети. К самому Paspberry Pi подключаемся по Wi-Fi и запускаем на нем программу-эксплойт для MC08-067. Появляется консоль, где мы можем вводить команды для компьютера банкомата. Несколькими нажатиями на клавиши можно заставить банкомат выдать небольшое количество денег.

В среднем в банкомате четыре кассеты по 2,5–3 тыс. банкнот в каждой. Несложно подсчитать, что при стандартной загрузке в банкомате может оказаться более 10 млн рублей. Их можно вытащить, эксплуатируя различные уязвимости, которые, как сказано выше, уже никогда не будут устранены.

Обходим защиту

Предположим, банк не поскупился на то, чтобы защитить операционную систему: установил антивирус или какую-нибудь систему контроля целостности, которая не дает нам запускать произвольный код. Но если у нас есть доступ в сервисную зону, никакая защита нам не страшна. Компьютер банкомата нам вообще не понадобится, будем работать через физические интерфейсы.

Периферийные устройства банкомата, такие как картридер, диспенсер и пинпад, подключены к компьютеру через COM или USB-порты. COM – стандартный последовательный интерфейс, для него не нужны никакие специальные драйверы, никакая авторизация. Протоколы передачи не защищены, их можно спокойно прослушивать и реплеить (передавать записанные последовательности данных. – Прим. ред.) с небольшими изменениями.

Правда, протоколов там множество. Каждая новая прошивка устройства – новый протокол. Анализировать их непросто, и в Интернете мало информации на эту тему. Зато известно, например, что COM-порт не поддерживает контроль последовательности выполнения команд. То есть мы можем повторять какую-то отдельную команду или цепочку команд. А еще известно, что потеря связи устройства с портом не детектируется: если мы на 5–10 секунд отключим диспенсер от банкомата, то банкомат, в принципе, не сможет это понять.

Кроме того, в протоколах либо используется фиксированный размер данных для пакетов, либо применяются байты «старт/стоп» для разделения пакетов друг от друга, либо применяется префикс длины и сами данные передаются вместе. Проанализировав перехваченные данные, можно понять, какая последовательность означает «выдать из первой кассеты одну купюру». Легко и просто. Для таких действий не требуется никакой авторизации.

Так же легко можно превратить банкомат в аппаратный скиммер, который забирает данные и передает их злоумышленнику – ведь данные банковской карты передаются в открытом виде между банкоматом и картридером. Если мы разместим наш Raspberry Pi внутри банкомата, такой скиммер в принципе нельзя будет увидеть снаружи.

Конечно, производители банкоматов и банки утверждают, что давно отказались от COM-портов и на их банкоматах используется только шифрованное USB-подключение. На самом деле это относится лишь к новым, недавно закупленным банкоматам. Десятки тысяч старых банкоматов до сих пор находятся в эксплуатации.

Кто виноват и что делать

Производители банкоматов предлагают защитные средства: антивирусы, системы контроля целостности, системы противодействия запуску приложений. Они, безусловно, полезны. При этом с помощью отвертки либо сервисного ключа мы за пару минут (не поможет даже сигнализация – все сделаем и уйдем до приезда охраны) получаем прямой доступ к компьютеру и возможность применять к нему всевозможные эксплойты. Защита должна быть эшелонированной.

Необходима постоянная двусторонняя аутентификация между компьютером банкомата и его периферийными устройствами. Тут не всегда спасет и криптография – в каждом шифрованном протоколе можно найти уязвимости.

Также мы предлагаем пересмотреть стандарт XFS в пользу увеличения его защищенности. Текущая ситуация крайне плачевная. Если есть возможность выполнить код, а также обратиться к XFS-менеджеру, то у нас есть полный контроль над периферией банкомата.

Нужно регулярно проводить системный анализ защищенности банкомата, включая тестирование на проникновение, проверку внешнего периметра, тестирование самих банкоматов и их подключения к процессингу.

Как обмануть банкомат и снять деньги

Большинство банков стараются упростить потребность своих клиентов в снятии наличности или пополнения банковских карт. С этой целью они устанавливают банкоматы и терминалы во многих точках города, которые всегда привлекали внимание дельцов, желающих воспользоваться ими в свою пользу. Поэтому, стоит рассмотреть вопрос, можно ли обмануть банкомат, используя различные манипуляции с помощью подделок или банкнот «билеты банка приколов».

Существование схем обмана вызывают определенный интерес для мошенников. А учитывая, что фальшивомонетчики периодически проявляют активность, важно понимать, что делать и как распознать фальшивку.

Ошибки банкоматов

Практически все банкоматы проводят сканирование купюр по определенным защищенным частям денежной купюры. К сожалению, не все банкоматы оснащены высокоточным сканирующим устройством , позволяющим идентифицировать банкноту.

Банкоматы проверяют деньги в обычном рабочем режиме. Однако, когда вносится большая сумма денег, не всегда хватает отведенных секунд на проверку, распознать фальшивку. Это объясняет, почему банкомат берет фальшивки, а в случае с мошенничеством, зачастую речь идет о 5000 купюрах.

По сути, банкоматы подставляют собой сложное техническое устройство, которому, как и любой технике, свойственно ломаться. В некоторых случаях происходят сбои в работе, в результате чего выдается не та сумма денег, которую запросил клиент. Причинами выдачи большей суммы, чем запрашивается клиентом, могут быть:

• Программная ошибка.
• Технический сбой.
• Ошибка кассира, который производил загрузку денег.

Если клиент столкнулся с такой ситуацией, стоит обратиться в отделение банка, поскольку автоматическая система рано или поздно выявит данный инцидент. А разобравшись с ситуацией, клиенту может быть предъявлена серьезная претензия.

Целенаправленный обман?

Задаваясь вопросом, как обмануть банкомат Сбербанка и снять деньги, важно помнить об уголовной ответственности, несмотря на многочисленные видео и черные схемы. Все эти «наглядные пособия» чреваты серьезными последствиями.

В числе зафиксированных случаев умышленного обмана, можно выделить следующие:

• При необходимости разменять купюры, можно положить на счет в банкомате две банкноты, номиналом 5000 рублей. А затем снимать эти деньги частями. Два раза по 4000 рублей, а затем запросить сумму в 2000 рублей. Поэтому, при необходимости размена, не стоит обращаться в кассу, достаточно потратить несколько минут у банкомата и успешно решить свою проблему размена большой купюры на мелкие. Для решения проблемы размена обычного человека – это реальный способ получить деньги меньшего номинала. А мошенники используют фальшивые купюры, которые в течение нескольких минут становятся настоящими деньгами.
• В некоторых банкоматах, до недавнего времени работала такая схема: необходимо использовать «левую» банковскую карту Сбербанка и денежная купюра. Введя пин-код и не дожидаясь окончания операции, вставляется купюра в еще закрытый купюроприемник. Номинал не имеет значения в данном случае. Купюра вставляется до половины. Затем, необходимо нажать опцию «внести наличные». Аппарат начинает «думать». По его пониманию, банкноту попросту зажевало. Через определенное количество времени появляется надпись о сумме претензии. Вводим и подтверждаем сумму в 5000 рублей. Чек и зачисление на счет гарантированы.
• Зафиксирован случай с разрезанием купюр. Мошенник информирован о всех элементах защиты, по которым проверяется каждая поступающая банкнота в купюроприемник. Он аккуратно разрезал пятитысячные на две части и аккуратно дополнил их другими мелкими банкнотами. Такая система была реализована человеком, идеально знакомым с системой считывания элементов распознавания. Банкомат успешно принял все деньги и зачислил их на счет злоумышленника.

Способы обмана банкомата Киви

В последнее время многие люди используют Киви кошельки. А значит, привлекают интересы мошенников, которые задаются вопросами, как обмануть банкомат Киви. Схема обмана злоумышленников имеет следующий алгоритм:

• Подыскиваются терминалы, которые расположены в безлюдных местах или там, где наиболее низкая проходимость людей.
• Вбивается специальный скрипт (на клавиатуре терминала). Это специальная программа, которая направлена на ориентирование самой транзакции.
• После её установки все платежи будут проводиться не по их назначению, а перенаправляться, согласно установленной программы.

Любой пользователь, который ничего не подозревает, попросту отправит свои деньги на кошелек мошенников. Чтобы обезопасить себя, необходимо:

1. Постараться не пользоваться терминалами в безлюдных местах.
2. Сразу обратить внимание на внешние показатели терминала. Присутствие любого рода повреждений должны обязательно насторожить.
3. Постараться выяснить название подрядной организации, которая занимается обслуживанием данного терминала и сообщить.

Массовый вброс 5000 купюр «билеты банка приколов»

Старые рабочие терминалы всегда были предметом атаки со стороны мошенников, которые находили способы обмануть банкомат. Зафиксирован случай массового вброса фальшивых пяти тысячных купюр. Это произошло по причине отсутствия у старых устройств современной системы распознавания. Данным фактором и воспользовались мошенники, провернув серьезную финансовую махинацию.

В Санкт Петербурге был зафиксирован случай, когда злоумышленники загрузили в купюроприемник 5000-е купюры из банка приколов. Все банкноты были обработаны специальным раствором. Общая сумма урона составила пять миллионов рублей. Мошенники зачислили деньги на несколько банковских карт и успели их обналичить до того, как служба безопасности обнаружила подделки.

Как банк проверяет купюры?

Если в недавнем прошлом фальшивомонетчики подделывали деньги таким образом, чтобы рядовой гражданин не заметил подделки, то теперь их интерес составляют банкоматы.

Каждая купюра имеет свои элементы распознавания. В большинстве случаев, их несколько. Система считывания направлена на следующие показатели:

1. Лазерная микроперфорация.
2. Защитная нить.
3. Комплексность водяных знаков.
4. Скрытые символы и кипп-эффекты и многие другие элементы.

Чаще подделывают пяти тысячные и тысячные купюры. Мелкие денежные купюры проще «протолкнуть» в купюроприемник, но они не приносят мошенникам серьезного «дохода». Поэтому совершенство их изобретательности охватывает банкноты высокого номинала. А поиск ответа, как и можно ли обмануть банкомат остается актуальным.

Банкомат выдал фальшивку?

К сожалению, банкоматы дают сбой. Если клиентом была получена фальшивка, нужно незамедлительно обратиться в ближайшее отделение банка. Обратившись к специалисту, следует составить претензию. В ней нужно указать следующие параметры:

• Серийный номер и номинал полученной денежной купюры.
• Адрес и место того терминала, где клиент получал деньги по своей банковской карте.
• Обязательно следует указать конкретную дату и время съема денег.
• Если деньги снимались в присутствии близких или посторонних людей, лучше указать данные о свидетелях. Так будет проще доказать правоту своих слов.

Чтобы избежать подобных инцидентов лучше снимайте деньги в банкоматах, которые находятся в отделениях банков.

Попытка обмануть банкомат или участие в подделке денежных купюр – это уголовное преступление, которое преследуется Законом и предусматривает лишение свободы. Поэтому, элементарный интерес может стать серьезным правонарушением, повлекшим непоправимые последствия.

Пройдите небольшой опрос и узнайте о 10 способах обмана банкоматов и не только их, также представлены и другие схемы.

Как настроить?

Всё о Интернете, сетях, компьютерах, Windows, iOS и Android

Как взламывают банкоматы Сбербанка и других банков

Всем привет! Сегодня я хочу рассказать об одном виде мошенничества, которое хоть и не часто, но тем не менее встречается — взлом банкомата. Тут Вы резонно можете спросить — а при чём тут обычный обыватель? Ведь и само устройство и деньги внутреннего — это собственность банка!
Так, да не так. Один из способов подразумевает кражу пользовательских данных и использование их в преступных целях. В частности — для обналичивание средств, хранящихся на счёте жертвы.
Заранее хочу оговориться, что это не статья из разряда «как взломать банкомат для чайников». Это информация о том, как обычному человеку не стать жертвой злоумышленников.

Для начала давайте разберёмся что такое Банкомат — это специальный аппаратно-программный комплекс, предназначенный для работы с банковскими картами, выдачи и приёма наличных средства, а так же для проведения безналичных платежей.
Рассмотрим подробнее из каких модулей он состоит:

Устройство банкомата

За крепким стальным корпусом такого аппарата скрывается обычный компьютер , который связан с сетью своего банка посредством кабельного (ADSL, Ethernet) или беспроводного доступа (WiFi, 3G/4G). Кстати, для обмена данными как правило используются каналы связи всего по 64-128 КБит/сек.

Вся наличность находится в специальном бронированном модуле, который называют сейф. Доступ к нему имею инкассаторы, которые занимаются заменой денежных кассет.

Наличные деньги выдаются через специальное устройство — Диспенсер, который соединён с сейфом. Он разблокирует кассеты, перемещает деньги, выдаёт купюры клиенту и отбраковывает повреждённые при их обнаружении, помещая их в кассету с браком.

Выдаёт наличность клиенту специальный механизм, отвечающий выдачу денег — шаттер.

За получение информации с банковской карты отвечает Картридер — считыватель карт. Он отлично умеет снимать информацию как с обычной магнитной полосы, так и с EMV-чипа, который идёт на современных кредитках и дебетках.

Для вывода информации пользователю используется дисплей . На последних моделях он уже идёт сенсорный. В противном случае, рядом с экраном будут находится кнопки управления.

Цифровая клавиатура банкомата, через которую пользователю вводит pin-код, а так же указывает сумму, номер счёта и т.п. называется Пинпад. У неё два режима работы:
— защищенный, в котором вводится ПИН-код и передается в шифрованном виде в компьютер.
— открытый, используется для ввода суммы денег, номера счёта, телефона и т.п.

Так же, в целях безопасности, противодействия взлому банкомата и мошеннических действий с ним, внутри установлена система видео-наблюдения, имеющая минимум одну видеокамеру. в более продвинутых аппаратах видеокамер несколько. Они используются для видеофиксации приёма и выдачи денег прямо рядом с купюроприёмником и устройством выдачи купюр.

Ну и не стоит забывать про принтер , печатающий чеки. Он представляет собой наименьший интерес для взломщиков.

Программный комплекс банкомата называется XFS-менеджер. Он отвечает за слаженную работу всех его устройств. Стандарт XFS разработан в Microsoft. Самое интересное, что наиболее адекватно он работает на старой доброй Windows XP. Именно поэтому львиная доля банкоматов до сих пор используют именно эту ОС.
Ну вот, с внутренним устройством разобрались — теперь давайте посмотрим на самые популярные способы как взломать банкомат, которыми пользуются злоумышленники.

1. Физическое повреждение или поломка банкомата

Это самый простой в техническом плане способ. Не нужно никаких дополнительных хитрых устройств, компьютеров, программ и обученных специалистов — только грубая сила. Но это не значит, что тут всё очень легко. Во-первых, понадобится специализированный инструмент — болгарка, гидравлический ножницы или автоген. Некоторые злоумышленники пытаются справится с помощью лома и кувалды, но, как правило, эти попытки не венчаются успехом, так как стенки и дверь сейфа бронированные и тут нужно что-то посерьёзнее. Известны случаи, когда внутренний сейф вскрывали с помощью взрывчатки, но это скорее по глупости — большинство купюр при этом сгорает от огня. С 2013 года в Америке придумали ещё одну хитрость, позволяющую вскрыть банкомат не повредив деньги — газовые взрывчатые устройства. Но до России, слава Богу, всё это не докатилось.

Кстати, как показывает статистика, большинство взломов банковских терминалов заканчивается неудачей для преступников и значительным ущербом для банка из-за значительных повреждений устройства.

2. Использование аппаратных уязвимостей

Здесь вся суть кроется в поиске уязвимостей, которые производитель банкомата допустил в конструкции своих изделий, либо в комплектующих, использованных в производстве.

Самый популярный на сегодня вариант называется кеш-трэппинг . Суть его заключается в том, чтобы различными способами повредить механизм выдачи денег так, чтобы он не мог ни выдать купюры, ни вернуть их обратно в кассеты. Клиент пытается снять деньги, но у него это не получается. Он получает карточку и уходит. Наличные как бы возвращаются назад в терминал, но по факту остаются в шаттере и злоумышленникам остаётся только извлечь их оттуда.

Ещё один, относительно свежий способ открыли совсем недавно. Называется он Drilled Box . Тут используется чисто конструктивная особенность определённых моделей одной марки банкоматов. В корпусе просверливается отверстие для подключения специальной шины, через которую деньги благополучно покидают сейф.

3. Скимминг

Это сложный в техническом плане, да и в самой реализации способ, но он имеет место быть. Сложен он тем, что на банкомат Сбербанка или другого банка надо прикрепить каким-то образом устройство для считывания карты (скиммер), которое считает код карты, а так же цифровую клавиатуру (пинбокс) или видеокамеру чтобы увести пин-код. После этого изготавливается дубликат карты и со счёта клиента средства уходят далеко и надолго.

4. Программный взлом

Это самый технически продвинутый способ, которым занимаются уже профессионалы в сфере взлома банкоматов, так как подразумевает наличие у преступников продвинутых знаний о протоколах передачи данных и техническом устройстве аппарата. Как правило чаще всего смысл действий заключается в перехвате данные, которые передаются между терминалом и сервером банка. Злоумышленники «вклиниваются» в канал связи и ставят анализатор пакетов, с помощью которого пытаются перехватить передаваемые пакеты.

На старых моделях, где ещё используются COM-порты, возможен ещё один вариант взлома, который подразумевает вскрытие корпуса и подключение мобильного компьютера для перехвата данных. Именно поэтому на новых девайсах уже используются только USB разъёмы.

Ещё один случай — использование ошибок при разработке программного обеспечения. Так, например, в 2014 году был ряд случаев, когда удалось снять деньги с помощью ввода комбинации цифр на пинпаде. Но как в дальнейшем оказалось, злоумышленники имели доступ у внутренностям аппарата в следствие чего был загружен диск с вирусом.

«Просверлили дырочку»: как мошенники взламывали банкоматы Сбербанка

Зампред Сбербанка Станислав Кузнецов, выступая на конференции во вторник, сообщил, что банк обнаружил новый способ кражи наличности в банкоматах, когда мошенники выкачивают деньги с помощью «специальной компьютерной шины».

«Тенденция появилась буквально четыре-пять месяцев назад. [Преступление] называется drilled box, когда просверливается дырочка в банкомате — в определенных видах банкомата, определенной марки, мы все их знаем — и подключается шина и с ее помощью выкачиваются мгновенно деньги», — объяснял Кузнецов (цитата по «РИА Новости»).

Других подробностей операции грабителей с банкоматами Кузнецов не назвал. Не сообщил он, и о каком производителе идет речь. В пресс-службе Сбербанка прокомментировать заявление зампреда также не смогли. РБК разбирался, как устроен этот вид мошенничества, как давно он появился и кто виноват в случившемся.

Хирургическая операция

Андрей Пастухов, гендиректор IT-компании «Ансер Про», которая занимается производством электроники для защиты банкоматов, рассказал РБК, что речь идет о банкоматах, производимых компанией NCR — одним из лидеров этого рынка. По данным компании, она обслуживает около 40 тыс., или 25%, действующих в России банкоматов.

«По подтвержденным данным, которые у нас имеются, речь идет о старых моделях [NCR], на которые установлена SDC-шина», — говорит он. Это, по сути, разъем, подключившись к которому, взломщик может с помощью своей программы дать команду банкомату выдать деньги. По словам Пастухова, случаи успешных атак были зафиксированы специалистами компании во время выездов на место преступления.

На сайте компании «Ансер Про» есть схема, на которой показан вариант такой атаки. Злоумышленники осуществляют ее с помощью мини-компьютера со шлейфом проводов для подключения к банкомату. Этот мини-компьютер специалисты по безопасности называют Black Box. Поэтому Пастухов удивляется термину «drilled box», озвученному зампредом Сбербанка.

При помощи сверла злоумышленник получает доступ к шине управления периферийными устройствами банкомата, в том числе диспенсером — устройством, которое управляет выдачей наличных. По словам Пастухова, отверстие чаще делают рядом с клавиатурой банкомата, на которой пользователи обычно вводят PIN-код. В этом месте легче вытащить разъем и подключить к Black Box, объясняет он.

Подключенное устройство подает управляющие команды на выдачу наличных, банкомат исполняет их и сам выдает деньги, рассказывает директор операционного департамента ВТБ24 Валерий Чулков. «Это своего рода нейрохирургическая операция. И для того чтобы «в поле» она прошла быстро и успешно, требуется практика», — добавляет руководитель отдела безопасности банковских систем компании Positive Technologies Тимур Юнусов​.

Со сверлом в атаку

Специалисты по компьютерной безопасности и банкиры говорят, что такой способ вскрывать банкоматы известен давно. Первые упоминания о сверлах для проникновения к разъему управления диспенсером банкомата датированы еще 2013 годом, вспоминает Юнусов. До этого, говорит он, сверло использовали для того, чтобы заполнить банкомат газом и взорвать.

По словам Чулкова из ВТБ24, тип мошенничества, о котором сообщил Сбербанк, активно обсуждается в профессиональном межбанковском сообществе с 2015 года, а единичные случаи атак Black Box появлялись в России еще в 2010 году. Пастухов из «Ансер Про» говорит, что атаки с использованием Black Box начались с конца 2015 года и их количество с тех пор увеличилось в разы.

По данным Европейской группы по обеспечению безопасности банкоматов (European ATM Security Team, EAST), общие потери банков, которые те несут из-за вредоносного программного обеспечения и скиммеров (считывающих данные карты устройств), в этом году составили приблизительно €174 млн.

Старые банкоматы

По данным ЦБ, всего в России на 1 июля 2016 года было 203,5 тыс. банкоматов. Самыми популярными производителями у российских банков являются компании NCR, Diebold, Wincor Nixdorf, говорит Юнусов. «У каждого вендора найдется по две-три самые популярные модели. К каждой из них можно теоретически применить ту или иную атаку, все зависит от модели, настроек безопасности, недостатков конкретной сборки и человеческого фактора», — считает он.

Станислав Кузнецов в своем выступлении утверждал, что производитель банкоматов был информирован о случившемся, но реакции сразу не последовало. Сбербанк, по его словам, был вынужден поставить ультиматум: «либо мы не будем покупать ваши банкоматы, либо примите какие-то меры».

По словам вице-президента по продажам компании NCR Константина Хоткина, атаке Black Box могут подвергаться банкоматы всех производителей, при этом чаще злоумышленники выбирают наиболее популярные и почти всегда не самые последние модели.

«Что касается банкоматов нашего производства, атакам подвергаются устройства, которые выпускались до 2009 года. Система защиты была разработана более 15 лет назад и полностью отвечала требованиям того времени», — говорит он. После того как устройства стали списывать, не утилизируя должным образом, они стали доступны для злоумышленников, продолжает он, а те смогли создать для них программы и устройства для получения наличных. В новых банкоматах, которые выпускаются с 2008 года, по словам Хоткина, система защиты от таких атак уже была встроена.

Хоткин говорит, что его компания выпускала специальные обновления против Black Box для предыдущих моделей банкоматов, а на рынке существует несколько IT-решений по противодействию таким атакам. «К сожалению, о безопасности вспоминают только тогда, когда происходит потеря денег от действий злоумышленников», — резюмирует он.

Хоткин не уточнил, какое количество действующих банкоматов является морально и физически устаревшими и какие банки их используют. Не назвал эти цифры и Сбербанк. Как отметил Кузнецов, у Сбербанка сейчас примерно 80 тыс. банкоматов. Раньше, по его словам, их было 90 тыс., но банк сократил сеть почти на 10 тыс. устройств. По данным представителя одной из IT-компаний, Сбербанк и NCR ведут переговоры об обновлении ПО для старых банкоматов. Хоткин это не комментирует.

Возможные потери

Объемы возможных потерь Сбербанка от подобного рода атак никто из опрошенных РБК экспертов оценить не смог. По данным годовой отчетности Сбербанка за 2015 год, банк в прошлом году предотвратил свыше 154 тыс. попыток хищения средств граждан на 2,8 млрд руб. Но речь идет в основном о скимминге, об атаках Black Box банк не упоминает.

«Потери банков при отсутствии защиты могут быть серьезными. В банкомате в среднем находятся от 3 млн до 5 млн руб. Все их можно снять при помощь этой штуки. Если мы говорим о действии нескольких преступных групп, то потери могут составлять сотни миллионов рублей», — отметил руководитель блока электронного бизнеса Бинбанка Алексей Дегтярев.​