Distributori automatici: quello che pochi sanno...

di Rocco Gianluca Massa (Osservatorio CSIG Foggia)


Il 13 settembre 2006 il Virginian Pilot e molti altri portali americani hanno pubblicato la notizia secondo cui un uomo avrebbe prelevato fraudolentemente del denaro da uno sportello ATM (Bancomat) di un’area di servizio, sbloccando e riprogrammando a proprio piacimento l’apparecchio.
L’episodio risalente al 19 agosto scorso ha attirato da subito l’attenzione di media e polizia locali, interessati a capire il sistema usato per ‘sbancare’ il bancomat in questione.
Stando a quanto è emerso dalle indagini, il sospettato avrebbe inserito nell’ATM (un Tranax Mini Bank 1500) un codice di sblocco in grado di permettergli l’accesso al pannello amministrativo e da lì manipolare a propria discrezione valute e importi, cosi’ da far segnare per ogni banconota da 20$ prelevata un addebito di soli 5$ sulla propria carta prepagata.
Elemento singolare è che il codice per compiere l’illecito è stato recuperato dal manuale dell’ATM in questione, facilmente individuabile e scaricabile via Internet e che i gestori dell’area di servizio non si fossero minimamente premurati di modificarlo!

A parte la singolarità della notizia e la difficoltà di evitare che episodi simili si ripetano (la Tranax ha distribuito oltre 70000 di questi ATM nei soli USA), personalmente non vi trovo nulla di eccezionale.

Da anni girano in rete manuali e ‘how to’ che riportano falle, backdoor passwords e codici di sblocco dei distributori automatici più disparati e quanto scoperto nel settembre scorso era in gran parte prevedibile da tempo... pertanto non c’e’ da stupirsi se nei prossimi mesi verranno resi noti episodi analoghi ma aventi ad oggetto altri apparecchi.

In previsione di cio’ esaminiamo con questo articolo alcuni dei sistemi più noti per ‘raggirare’ distributori automatici (di denaro o di altro) con un certo stile e sfruttando le falle hardware o software che siano.

Premetto che il presente scritto ha una finalità meramente divulgativa, pertanto non verranno volutamente:
- elencati i vari codici di sblocco;
- indicati modelli e marche di distributori automatici;
- descritti oltre un certo dettaglio alcuni espedienti.


Detto ciò, partiamo dall’analisi dei distributori automatici di contante (Automated Teller Machine), dei convertitori di valuta e di tutti quegli apparecchi che addebitano importi su carta di credito, carta prepagata etc.
Quando un distributore/convertitore di denaro viene forzato elettronicamente puo’ reagire in vari modi (dipende dal modello): trattenere la carta, bloccarsi totalmente, far suonare un allarme etc.
Uno degli espedienti ‘hardware’ più reclamizzati per raggirare queste protezioni consiste nell’alterare il normale funzionamento dall’esterno o farlo andare totalmente in tilt mediante, per esempio, delle scariche elettro-magnetiche.
In questo caso il ‘mezzo’ utilizzato è costituito da una scatoletta contenente un circuito elettrico a cui è collegato un cavetto e una ‘particolare’ carta di credito/diodo da inserire nella fessura del distributore automatico. Queste foto riportano due modelli dal costo di circa 200 euro cad. in vendita su alcuni ‘hacking shops’:









Altra tecnica abbastanza diffusa -soprattutto con i distributori più vecchi- consiste nell’infilare nell’insenatura della carta una sonda con all’estremità una bobina o un sensore elettromagnetico in grado di monitorare l’attività interna all’apparecchio e ‘decifrare’ il segnale elettrico che controlla il rilascio di denaro. Una volta ‘decifrato’ viene inserita una seconda sonda -questa volta con funzione di trasmittente- che al momento opportuno invia il segnale fortemente amplificato al distributore al fine di interferire con la fase di elaborazione ed erogazione di valuta.

Come è intuibile, quindi, la fessura di molti distributori si presta all’ingresso non solo di una carta di credito ma anche di altri materiali, e non è un caso se nell’abc dei furti da ‘automated machines’ sia una pratica particolarmente adottata quella di inalare nella cassaforte, sempre dall’esterno, sostanze chimiche o liquidi infiammabili dalle temperature di liquefazione bassissime quali nitrogeno, azoto, idrogeno liquido etc. il cui costo e reperibilità in alcuni casi è più semplice di quanto non si creda.

A parte il ricorso a mezzi empirici, molta ‘letteratura’ hacker ha da sempre evidenziato il ruolo del Social Engineering e dell’aspetto psicologico in questo tipo di truffe, dal lato vittima: fingendosi un cliente per ingannare il personale dell’istituto di credito, dal lato banca: spacciandosi per bancario e carpire dati alla vittima.
Un classico espediente consisteva ad esempio nel mettere il distributore automatico fuori uso la sera prima, adocchiare il giorno dopo i clienti che cercavano di prelevare inutilmente contante e aspettarli in banca per poi andargli incontro fingendosi un impiegato e per ottenere tutte le informazioni bancarie necessarie (codice pin, numero di conto etc) fino a farsi consegnare lo stesso bancomat!

Ma come alcuni di voi sapranno esistono sistemi in grado di porsi tra l’utente e la macchina per captarne forzatamente lo scambio di dati, dai semplici card traps di cui ho già parlato in un altro articolo in passato:

http://www.computerlaw.it/entry.asp?ENTRY_ID=194

alle microcamere, fino a sistemi sempre più raffinati e insospettabili per ricostruire la seguenza di tasti premuti sul tastierino. Uno dei più singolari consiste nel sovrapporre a quest’ultimo o al display dell’ATM una cornicetta apparentemente vuota ma in realtà costituita da sensori ad infrarosso verticali e orizzontali che si incrociano tra loro.
L’insieme dei fasci genera una ‘mappa virtuale’ del tastierino e ogni volta che vi passa attraverso un dito i sensori associano la posizione di quest’ultimo a determinate coordinate della suddetta mappa.
Non è niente di fantascientifico, se ci fate caso nelle stazioni ferroviarie, negli aeroporti, nei musei e e in tanti altri luoghi pubblici ci sono apparecchi automatici con mappe o archivi interattivi dotati di touch screen e che spesso sfruttano questo sistema per riconoscere ciò che l’utente seleziona.

Lasciamo i distributori che erogano o convertono contante e passiamo a quelli che offrono altro.

Siamo in questo caso di fronte a macchine altamente vulnerabili, facile intuire come gli espedienti si sprechino ma che soprattutto basti una semplice ricerca via Internet per trovare l’inimmaginabile.

Esistono infatti siti che per pochi dollari offrono manuali pieni di codici di sblocco per prelevare gratuitamente GPL da aree di servizio, per acquistare biglietti ferroviari per qualsiasi tratta ad un prezzo fisso o semplicemente per prelevare gratuitamente delle bevande. Il tutto senza forzare la macchina ma inserendo dai tastierini degli apparecchi in questione delle combinazioni ‘atipiche’ di numeri. Praticamente quanto accaduto negli USA nell’agosto scorso.

Qualcuno si chiederà quindi come mai esistono questi codici di sblocco e chi li rivela.
Al primo interrogativo vi sono più risposte: da esigenze di gestione del distributore automatico fino a errori nella programmazione del software; per il secondo quesito invece a parte gli smanettoni o la soffiata dell’ingegnere che ha progettato l’apparecchio, vi può essere semplicemente la ‘leggerezza’ del costruttore che riporta la combinazione sul manuale d’uso dell’apparecchio. Anche in questo caso quanto documentato dal Virginian Pilot ne è solo una triste conferma.

Inserito il 03/11/2006 | Cybercrimes