Bezpečnost | Bankomat | NFC

Do bankomatů a platebních terminálů s NFC se lze nabourat aplikací pro Android

  • Expert odhalil zranitelnosti v bankomatech a platebních terminálech
  • Přes NFC umožňuji změnu placené částky nebo výběr hotovosti
  • Řada zařízení přitom není dodnes aktualizována

Bezpečnostní expert z IOActive Josep Rodriguez strávil poslední rok hledáním a zveřejňováním zranitelností ve čtečkách NFC, používaných v milionech bankomatů a platebních terminálů. Výsledkem je aplikace pro Android, která umožňuje chytrému telefonu napodobovat komunikaci platební karty a využívat chyby ve firmwaru NFC.

Objev je poměrně zásadní: doslova jedním mávnutím telefonu může zneužít celou řadu chyb: vyřadit zařízení, nabourat se do nich, shromažďovat a přenášet údaje o platebních kartách, měnit hodnotu transakcí, a dokonce zařízení zablokovat a zobrazit zprávu s požadavkem na výkupné, informuje server Wired.

Rodriguez, který jako konzultant léta testuje zabezpečení bankomatů, začal před rokem zkoumat, zda by čtečky bezkontaktních karet v bankomatech a terminálech (nejčastěji dodávané firmou ID Tech) mohly sloužit jako brána k jejich hacknutí.

Začal na eBayi nakupovat čtečky NFC a platební terminály a brzy zjistil, že mnoho z nich trpí stejnou bezpečnostní chybou: neověřují velikost datového paketu odesílaného prostřednictvím NFC z platební karty do čtečky.

Útok na bankomat

Rodriguez tvrdí, že dokáže přinutit nejméně jednu značku bankomatu, aby vydal hotovost. Tento hack však funguje pouze v kombinaci s dalšími chybami, které podle svých slov našel v softwaru bankomatů. Expert odmítl tyto chyby upřesnit nebo zveřejnit kvůli dohodám o mlčenlivosti s výrobci.

„Můžete upravit firmware a změnit cenu například na jeden dolar, i když se na obrazovce zobrazuje, že platíte 50 dolarů. Můžete zařízení znefunkčnit nebo nainstalovat nějaký druh ransomwaru. Možností je zde mnoho,“ říká Rodriguez a tvrdí, že postižené dodavatele upozornil před sedmi měsíci až rokem. Patří mezi ně společnosti ID Tech, Ingenico, Verifone, Crane Payment Innovations, BBPOS, Nexgo a nejmenovaný dodavatel bankomatů.

Přesto varuje, že vzhledem k počtu postižených systémů a skutečnosti, že mnoho terminálů a bankomatů nedostává pravidelné aktualizace (navíc je v mnoha případech k aktualizaci nutný fyzický přístup) je velmi pravděpodobné, že mnoho postižených zařízení zůstává zranitelných. „Fyzické záplatování tolika stovek tisíc bankomatů by vyžadovalo spoustu času,“ říká Rodriguez.

Jako důkaz, že zranitelnosti přetrvávají, poskytl bezpečnostní expert magazínu Wired video, ve kterém u bankomatu na ulici v Madridu mává smartphonem nad čtečkou NFC. Tím způsobí, že bankomat zobrazí chybovou zprávu. Z videa to vypadá, jako by se software čtečky NFC zhroutil a při následném přiložení platební karty k přístroji ji bankomat nepřečte.

Bezpečnostní díry v implementaci NFC

Rodriguez neposkytl video s ukázkou, jak se mu podařilo z bankomatu vybrat peníze. Podle svých slov ji mohl legálně otestovat pouze na přístrojích poskytnutých v rámci bezpečnostního poradenství společnosti IOActive pro dotčeného dodavatele bankomatů, s nímž firma podepsala dohodu o mlčenlivosti.

Zakladatel bezpečnostní firmy SRLabs a známý hacker Karsten Nohl, který Rodriguezovu práci posuzoval, ji označil za vynikající výzkum zranitelnosti softwaru v zařízeních. Nohl však upozorňuje na několik nedostatků, které snižují praktickou využitelnost. Přes nabouranou čtečku lze ukrást pouze údaje o kartách s magnetickým proužkem, nikoli PIN oběti nebo údaje z čipů EMV.

Generální ředitel a bezpečnostní expert společnosti Red Balloon Ang Cui řekl, že na něj Rodriguezova zjištění udělala dojem a nepochybuje o tom, že by hacknutí čtečky NFC mohlo vést u mnoha moderních bankomatů k výdeji hotovosti. „Myslím, že je velmi pravděpodobné, že jakmile se vám podaří spustit kód na některém z těchto zařízení, měli byste být schopni dostat se přímo k hlavnímu řadiči, protože ta věc je plná zranitelností, které nebyly opraveny více než deset let,“ konstatoval Cui.

Poté, co Rodriguez držel řadu svých zjištění celý rok pod pokličkou, plánuje v příštích týdnech zveřejnit určité technické detaily zranitelností na webovém semináři. Zčásti proto, aby přiměl zákazníky dotčených dodavatelů k implementaci záplat, ale chce také upozornit na neutěšený stav zabezpečení těchto zařízení v širším měřítku.

Diskuze (8) Další článek: Tornádo, které se prohnalo Moravou, bylo kategorie F4. To je druhý nejničivější stupeň z šesti

Témata článku: Android, Bezpečnost, Placení mobilem, eBay, Bankomat, Čtečka, Peníze, NFC, Madrid, Zranitelnost, Wired, Zařízení, Platební terminál, Karsten Nohl, Aplikace, Verifone, EMV, Terminál, SRLabs, ID Tech



Nejpirátěnější filmy: Co se teď nejvíc stahuje (aktualizace červenec 2021)

Nejpirátěnější filmy: Co se teď nejvíc stahuje (aktualizace červenec 2021)

Vzali jsme týdenní přehledy nejstahovanějších filmů, které se objevují na torrentech, a spojili je do jednoho žebříčku. Tohle jsou aktuálně filmy, které se na světě nejvíc pirátí.

Ondřej Králík
Filmy a seriály
Příběh hry Far Cry 6 bude už z principu silně politický, říkají tvůrci

Příběh hry Far Cry 6 bude už z principu silně politický, říkají tvůrci

Revoluce nemůže vzniknout bez politického základu.

Michal Maliarov
Far Cry 6Ubisoft
Vše, co o něm víme. Canon EOS R3 je na spadnutí!
Helena Vyplelová
BezzrcadlovkyCanon
Hráči fotí z oblak Flight Simulatoru, podívejte se na ty nejkrásnější snímky

Hráči fotí z oblak Flight Simulatoru, podívejte se na ty nejkrásnější snímky

Tvrdé lekce v oblacích od Microsoftu jsou tu s námi už nějaký ten pátek. Pojďme se mrknout, jaká dobrodružství zažívají hráči z celého světa.

Michal Maliarov
Flight SimulatorGalerie
Turecký nadzvukový dron MIUS dosáhne s ukrajinskými tryskovými motory rychlosti 1,4 machu

Turecký nadzvukový dron MIUS dosáhne s ukrajinskými tryskovými motory rychlosti 1,4 machu

** Společnost Baykar připravuje nadzvukový tryskový bojový dron MIUS ** Ten by mohl operovat z lodi TCG Anadolu ** MIUS by měl unést výzbroj o váze 1,5 tuny a pohybovat se rychlostí až Mach 1,4

Stanislav Mihulka
VojenstvíTureckoDrony