Как пояснили в Positive Technologies, диспенсер управляет кассетами, которые задействуются в процессе выдачи наличных, является сложным механизированным устройством, расположенным в нижней, более защищенной части банкомата (в сейфе). Управляется контроллером. Диспенсер - наиболее важная цель для атакующего, указали в компании.
"В случае с Wincor Cineo на популярном сайте объявлений был куплен такой же контроллер, управляющий выдачей, какой установлен в серийных ATM Wincor, - рассказал старший специалист отдела безопасности промышленных систем управления Positive Technologies Владимир Кононович. - Найденные в контроллере ошибки в коде и старые ключи шифрования дали возможность подключиться к ATM с помощью собственного компьютера (как в случае с классической атакой black box), обойти шифрование и произвести выдачу наличных. В настоящее время схема атаки состоит из трех пунктов: подключение компьютера к банкомату, загрузка устаревшей и уязвимой прошивки, а в финале - эксплуатация этих уязвимостей для получения доступа к содержимому кассет внутри защищенного сейфа. Для исправления уязвимостей кредитным организациям необходимо запрашивать у производителей банкоматов последнюю версию прошивки. Кроме того, в качестве дополнительного фактора защиты вендору рекомендуется включить физическую аутентификацию для оператора во время установки встроенного программного обеспечения".
Физическую аутентификацию используют в качестве подтверждения того, что изменения в банкомат вносит сотрудник, а не злоумышленник. Как правило, в ходе такой аутентификации проверяют наличие доступа к защищенной зоне (safe zone) банкомата, то есть к сейфу. Предполагается, что такой доступ есть только у персонала. В качестве проверки обычно предлагается переставить в сейфе ATM кассеты согласно указанной на дисплее банкомата последовательности.
В банках, входящих в топ-50 по активам, рассказали "РГ", что используют банкоматы производства Diebold Nixdorf. В частности, в Уральском банке реконструкции и развития парк АТМ насчитывает около 1 тыс. таких банкоматов. В другом банке из топ-50 на условиях анонимности уточнили, что в их парке доля данных АТМ незначительна. В пресс-службе ЦБ на запрос "РГ" не ответили.