Czy hakowanie bankomatów zawsze wymaga wcześniejszego dostępu do urządzenia wewnątrz obudowy albo do sieci banku? Okazuje się, że niekoniecznie – przestępcy wypłacili z wielu maszyn 400 tysięcy dolarów znając jedynie kod serwisowy.
Ciekawy przypadek bankomatowych hakerów opisuje niezawodny Kevin Poulsen w magazynie Wired. Przez półtora roku ukradli oni z bankomatów w jednym miasteczku ponad 400 tysięcy dolarów. Jak tego dokonali?
Oszustwo prawie nie do wykrycia
Khaled Abdel Fattah oraz Chris Folad w ciągu 18 miesięcy wypłacili z bankomatów w Nashville kilkaset tysięcy dolarów w banknotach 20-dolarowych. Za każdym razem, kiedy wypłacali gotówkę, korzystając do tego celu z własnych kart płatniczych, otrzymywali 20 razy więcej dolarów, niż znikało z ich kont. Każdy, kto wypłacał przed nimi lub po nich, otrzymywał tyle, ile bank potrącał z jego rachunku. Sekret naszych bohaterów polegał na znajomości odpowiedniej kombinacji klawiszy.
Fattah, zanim został bankomatowym złodziejem, pracował w firmie obsługującej te urządzenia. Stamtąd też wyniósł wiedzę o sposobie uruchomienia „trybu operatora” za pomocą klawiatury urządzenia oraz odpowiednim 6-cyfrowym kodzie, niezbędnym do jego aktywacji. Przy każdej wizycie w bankomacie rabusie najpierw wchodzili do trybu operatora, następnie programowo zamieniali kasetki z banknotami, oszukując bankomat, by wydawał banknoty 20-dolarowe myśląc, ze są to 1-dolarówki, wypłacali np. 400 dolarów, podczas kiedy z ich konta znikało ich 20, przywracali oryginalną konfigurację i kończyli operację praktycznie niezauważeni.
Bankomat plujący banknotami na słynnej prezentacji Barnaby jacka
Szkolne błędy
Nasi bohaterowie zostali naszymi bohaterami, ponieważ w żaden sposób nie ukrywali swojej tożsamości. Zamiast korzystać z anonimowych kart przedpłaconych używali kart wydanych na własne dane, nie ukrywali także w żaden sposób swoich twarzy w trakcie dokonywania operacji. Czemu mimo tego mogli prowadzić ten proceder aż przez 18 miesięcy? To bardzo dobre pytanie.
Jednym z powodów może być fakt, że tego typu kradzieże, lecz na dużo mniejszą skalę, były już wcześniej znane bankom. W roku 2005 przestępcy odnaleźli w podręcznikach obsługi bankomatów takich marek jak Tranax czy Trident instrukcje obsługi „trybu operatora” wraz z domyślnymi kodami dostępu (jednym z nich było 123456). Co prawda instrukcje wyraźnie wspominały, by kod ten zmienić przed uruchomieniem urządzenia, lecz nie w każdym przypadku miało to miejsce. Po nagłośnieniu sprawy w 2006 producenci zmienili oprogramowanie by wymuszało zmianę kodu przy pierwszym uruchomieniu, jednak w starych maszynach konfiguracja pozostała bez zmian. W kolejnych latach regularnie pojawiały się przypadki drobnych kradzieży z użyciem właśnie kodów serwisowych. Najwyraźniej dopóki straty były małe, dopóty pokrywał je ubezpieczyciel i trzeba było dopiero rozmachu naszych bohaterów, by banki w końcu zawiadomiły organy ścigania.
Choć ostatnio częściej słyszymy o atakach na bankomaty wymagających wycinania dziur w obudowie, to powyższy przypadek nie jest odosobniony – nie dalej jak 5 miesięcy temu dwóch 14-latków dostało się do trybu serwisowego bankomatu w Kanadzie odgadując 6-cyfrowy kod po lekturze instrukcji.
Komentarze
Tych dwóch 14-latków jest idealnym przykładem na to, że nie trzeba być uber hakierem, żeby się gdzieś włamać bo gotowe rozwiązania są całkiem blisko.
No i panowie, używając znanego powiedzenia, ucięli złotej kurze jaja. Mogli robić to po trochu przestrzegając podstawowych zasad bezpieczeństwa, ale na ich debiliźmie stracili zarówno oni jak i potencjalni następcy. W tym konkretnym przypadku nie jest mi ich jednak żal.
Jeśli robili to aż przez 18 miesięcy to pewnie myśleli że są już bezkarni i tych zasad nie przestrzegali
Na miejscu policjantów, zrobiłbym rekonesans radiowozem po okolicy i zrobił dokumentację fotograficzną bankomatów „wolnostojących”. Właśnie one będą pierwsze od odstrzału. I to nie za pomocą finezyjnej techniki, tylko: (i) za pomocą ładunku wybuchowego, (ii) siłowego wyrwania bankomatu z podłoża lub ściany. Pogadałbym z właścicielem bankomatu i ostrzegł go, że to tylko kwestia czasu aż ktoś wytypuje ten bankomat do rabunku. Są takie miejsca, kompletne zadupia, sam je widziałem, gdzie bankomat jest przytwierdzony do ściany, np. małego budynku sklepiku albo apteki i nie jest zabudowany tylko wystaje „w całości”. Bandyci przyjadą w nocy, owiną bankomat liną metalową lub łańcuchem, wyrwą go ze ściany, załadują do dostawczaka i się zwiną, cała operacja zajmie im jakieś 2-5 minut. Widziałem też bankomaty „wolnostojące” przytwierdzone do podłoża tylko stalowymi łapami + śruby.
W bankomatach jest system bezpieczeństwa znakujący banknoty farbą w razie poruszenia maszyny.
Zawsze? We wszystkich? Nie znam tematu aż tak dobrze bo nigdy bankomatów nie serwisowałem, ale nie wydaje mi się żeby tak zawsze było. Natomiast co jakiś czas, w mediach są informacje o udanych rabunkach bankomatów (wybuch lub wyrwanie całego bankomatu ze ściany lub podłoża).
Jak było hasło serwisowe domyślne, nie zmienione, to IMO przestępcy powinni być zwolnieni, a banki uznane za winne. Bez żartów, to nawet nie jest „przełamanie” zabezpieczeń.
nie do końca jest tak ziomek. Nie możesz przywłaszczać sobie pieniędzy, które nie należą do tego. Jeśli przy bankomacie znajdziesz 1000zł to powinieneś iść na Policję, zgłosić ten fakt i przekazać im te pieniądze.
Tak samo z siecią WIFI. Możesz mieć ją zostawioną bez hasła ale nikt nie ma prawa się do niej podłączać (bez twojej zgody).
ooohhh
To tak jak z telefonami… Gwiazdka *1……. I tak dalej :-)
kody serwisowe w PKO #5093*00