Kaip kinta bankomatų atakos ir kokia naujų grėsmių bankams kaina

Publikuota: 2019 m. birželio 26 d. trečiadienis

Bankomatų atakų kasmet vis daugėja. Keičiasi jų pobūdis, jos sudėtingėja. Dar prieš kelerius metus pagrindinis piktavalių taikinys buvo bankų klientai, jų banko kortelių duomenys ir informacija apie sąskaitas, o dabar atakos vis dažniau nukreiptos į pačias finansines organizacijas. Juk iš banko galima pavogti kur kas daugiau nei iš jo kliento, mat jo sąskaitoje – milijonai.

Atakos, kai piktavaliai naudoja specialią techninę arba programinę įrangą, įprastai buvo vadinamos loginėmis. Tačiau pastaruoju metu ypač išaugo jų įvairovė, todėl bankinių technologijų apsaugos specialistai išskyrė atskirą grupę atakų, nukreiptų į bankinį įrenginį (angl. Terminal related fraud attacks).

Prie jų priskiriamos atakos, atliekamos naudojant papildomus išorinius prietaisus – įvairius kortelių duomenų nuskaitymo įrenginius, jungiamus prie bankomato kortelių skaitytuvo (angl. skimming ir shimming) arba į bankomatą įtaisant gaudyklę, „sugaunančią“ įkištą kortelę ar grynuosius pinigus (angl. trapping).

Europos saugių finansinių operacijų asociacijos (angl. European Association for Secure Transactions) duomenimis, palyginti su 2017 m., 2018 m. tokių atakų skaičius sumažėjo 36 proc., tačiau bendra pavogtų lėšų suma vis tiek milžiniška – 2018 m. siekė 247 mln. Eur (2017 m. – 353 mln. Eur).  

Kas tas „skimingas“ ir „šimingas“? Kuris iš jų baisesnis?

Vadinamasis „skimming“ atakų būdas visuomet buvo populiarus. Internete piktavaliai nebrangiai gali įsigyti įrenginį, kuris lipnia juosta lengvai priklijuojamas prie bankomato kortelių skaitytuvo taip, kad vartotojas nė neįtaria jo egzistuojant. Prijungti ir atjungti tokiam įrenginiui tereikia minutės, be to, dažniausiai tokie veiksmai nesukelia jokių banko apsaugos tarnybos įtarimų.  

Kaip vyksta vagystė? Prie bankomato pritaisytas įrenginys nuskaito duomenis nuo mokėjimo kortelės magnetinės juostos tuo metu, kai atliekama finansinė operacija, o jame įtaisyta vaizdo kamera arba ant klaviatūros dedama plokštelė padeda piktavaliui sužinoti PIN kodą. Tokia plokštelė gali būti klijuojama ir ant visos priekinės bankomato dalies.   

Pavogtus duomenis piktavaliai asmenys perkelia į naują magnetinę juostą, kurią priklijuoja prie tuščio balto plastiko, ir pasigamina padirbtą kortelę, kuria naudodamiesi gali išsigryninti pinigus bankomate, atsiskaityti įprastoje ar interneto parduotuvėje.  

Siekdami apsisaugoti nuo šio sukčiavimo būdo, bankai taiko skirtingus metodus. Pvz., bankomate įtaiso priemones, trukdančias priklijuoti minėtus įrenginius. Tačiau sukčiautojai greitai išmoksta apeiti šį apsaugos būdą. Dar vienas apsaugos būdas – įdiegti specialią programinę įrangą, kuri analizuoja kortelės naudotojo elgesį ir blokuoja operacijas, įtarusi netinkamus veiksmus. Deja, kai kurie tokie programiniai sprendimai paremti standartiniais scenarijais ir neatsižvelgia į daugybę kitų pašalinių veiksnių. Kortelės tokiu atveju gali būti blokuojamos klaidingai, suerzinant niekuo dėtus klientus, pvz., įtariami ir blokuojami užsienio klientai, besinaudojantys bankomatu ne savo šalyje.

Specialistų nuomone, šiuo metu geriausias sprendimas – kompleksinė apsauga, kai į bankomatą diegiama priemonė, sukurianti elektromagnetinius trikdžius, trukdančius nuskaityti duomenis nuo kortelės magnetinės juostos, ir papildomai diegiant sudėtingų algoritmų apsaugos kontrolės sistemą, analizuojančią didelę duomenų apimtį.

Prieš kelerius metus apsaugos specialistai rekomendavo atsisakyti magnetinių banko kortelių, pereinant prie kortelių su EMV lustais, manydami, kad tokių kortelių padirbti neįmanoma. Tačiau atsirado kitas kortelių duomenų vagystės būdas, vadinamas „shimming“.

Į bankomato kortelių skaitytuvą įdedamas specialus popieriaus storio įrenginys. Šioje plonytėje plokštelėje įtaisytas mikroprocesorius, įrašantis duomenis iš kortelės lusto, kai su kortele atliekama finansinė operacija. Aptikti šį piktavalių įrenginį dar sudėtingiau, nes jis įtaisomas kortelių skaitytuvo viduje ir visiškai nepastebimas bankomato naudotojams. Įtarti, kad viduje kažkas yra, galima tik pajutus, kad kortelę sunkiau, nei visada, įkišti į jai skirtą bankomato angą.

Pagaminti naujos mikroschemos su pavogtais kortelės duomenimis neįmanoma, tačiau įmanoma tuos duomenis perrašyti į magnetinę juostą.

Paprasčiausia priemonė kovoti su šiuo sukčiavimo būdu – dvipakopė kortelės naudotojo identifikacija (kai jis atpažįstamas PIN kodu ir biometriniu būdu). Jokių papildomų apsaugos priemonių ir nereikia, jei tik banko mokėjimo sistema pritaikyta šiems tarptautiniams apsaugos standartams. Deja, dauguma bankų rekomenduojamam standartui vis dar neteikia pakankamai dėmesio.  

Dar vienas sukčiavimo būdas – vadinamoji gaudyklė, kai į bankomatą įtaisoma priemonė, „pagaunanti“ kortelę (angl. card-trapping) arba grynuosius pinigus (angl. cash-trapping). Tam dažnai naudojama susukta į kilpą fotojuostelės dalis. Tiesa, pastaruoju metu šis būdas praranda populiarumą, nes tokioms atakoms reikia daug pastangų, o naudos mažai.

Apsaugoti bankinę įrangą nuo minėtų pasikėsinimo į kortelių duomenis būdų padeda šiuolaikinės vaizdo stebėsenos ir apsaugos nuo sukčiavimo sistemos. Tokios sistemos stebi visas bankomate atliekamas operacijas, reaguoja į įtartinus veiksmus, užfiksuoja, jei užklijuojama vaizdo kamera ir iš karto apie tai praneša apsaugos tarnyboms.

Socialinė inžinerija ir žmogiškasis faktorius

Kaip jau buvo minėta, pagrindinė iš pastarųjų metų tendencijų – tai, kad piktavaliai nuo atakų į atskirus banko klientus nukrypo į pačias finansines įstaigas. Gavę prieigą prie bankinės sistemos jie gali užsidirbti gerokai daugiau pinigų, o taip sukčiaujančius juos dar sudėtingiau sučiupti. Tereikia įsilaužti į banko tarnautojo kompiuterį, o iš čia atsiveria kelias į vidines banko sistemas, taip pat ir bankomatų tinklus.

Kaip įsilaužti į kompiuterį? Populiariausias būdas – per el. paštą. Piktavalis siunčia el. laišką, pasirašydamas banko kliento, centrinio šalies banko ar valstybinių įstaigų vardu. Kai tik banko tarnautojas gauna tokį laišką ir nieko neįtardamas atidaro jame prikabintą dokumentą, į jo kompiuterį įsiskverbia piktybinė programa, kuri akimirksniu paplinta po visą finansinės įstaigos vidinį tinklą. Šis atakos būdas vadinamas „žvejyba“ (angl. fishing), mat auka tarsi užkimba ant kabliuko.

Bankinio tinklo viduje piktavaliai susiranda darbuotojo, turinčio prieigą prie bankomatų tinklo, kompiuterį, o tuomet per jį paleidžia piktybinę programą į bankomatus. Bankomatui duodama komanda išduoti visus pinigus. Beje, ši komanda bankinėje sistemoje lieka nepastebima, banko darbuotojai mano, kad bankomate vis dar yra pakankamai pinigų. Atlikusi savo funkciją programa pati išsitrina nepalikdama įkalčių.

Atsekti tokias atakas labai sudėtinga, o jų statistika netiksli. Nemažai bankų apie tokias vagystes netgi nepraneša, bijodami pakenkti savo reputacijai.

Dar vienas būdas gauti prieigą prie sistemos – pasinaudoti iš banko darbuotojo gautais duomenimis (su jo sutikimu ar jam nežinant).

Visas šias problemas galima išspręsti ribojant darbuotojų prieigos teises ir įvedus daugiapakopę identifikaciją.

Kaip apsaugoti bankomatus nuo atakų

Kad apsisaugotų nuo loginių ir į bankomatų techninę įrangą nukreiptų atakų bankai privalo būti gudresni už sukčiautojus, užbėgti jiems už akių.

Deja, nemažai finansinių įstaigų skiria neužtektinai dėmesio techninės įrangos apsaugai, reguliariai neatlieka bankomatų programinės įrangos atnaujinimo, nepasirūpina, kad vidiniai tinklai atitiktų būtiną konfigūraciją.

Užkirsti kelią rizikai ir esamoms spragoms galima tik taikant kompleksinius sprendimus. Šiuolaikinės vaizdo stebėsenos ir apsaugos nuo sukčiavimo sistemos sumažina fizinių ir loginių atakų riziką, taip pat saugo nuo atakų į bankinę infrastruktūrą per vidinį tinklą.

BS/2, bendradarbiaudama su bankinės ir mažmeninės prekybos sprendimų gamintoja „Diebold Nixdorf“, siūlo kompleksinę bankomatų apsaugą. Jai užtikrinti naudojama BS/2 sukurta vaizdo stebėsenos ir apsaugos nuo sukčiavimo sistema „ATMeye.iQ“ ir „Diebold Nixdorf“ sprendimas „Vynamic Security“, skirtas apsaugai nuo visų tipų įsilaužimo į bankomato kompiuterį ir atakų.

 

Daugiau informacijos apie „ATMeye.iQ“ ir „Vynamic Security“ galimybes suteiks mūsų įmonės atstovai.

Šaltinis: Penki kontinentai
Kopijuoti, platinti, skelbti bet kokią portalo News.lt informaciją be raštiško redakcijos sutikimo draudžiama.

facebook komentarai

Naujas komentaras

     

 


Captcha
 

„TransLink.iQ“ - ieškantiems efektyvaus el. kortelių skaitytuvų tinklų valdymo sprendimo

Lietuva, Latvija, Estija, Sakartvelas (Gruzija), Azerbaidžanas, Kazachstanas, Turkmėnistanas, Uzbekistanas – tai tik kelios šalys, kuriose elektroninių kortelių skaitytuvų (EKS) valdymo programinės įrangos kūrimu, pardavimu ir priežiūra užsiimanti „ASHBURN International“ įgyvendina savo projektus. skaityti »

Klientų lojalumui išlaikyti vien akcijų nepakanka

Kovo 19-ąją daugiau nei 20-yje šalių švenčiama Tarptautinė kliento diena. Ji įtraukta į minėtinų dienų sąrašą, siekiant gerinti klientų aptarnavimo kultūrą, paskatinti kokybiškesnių ir įvairesnių prekių bei paslaugų pasiūlą, plačiau informuoti visuomenę apie įmonių veiklą, jų darbo specifiką. skaityti »

„Penki kontinentai“ pristato atnaujintą įmonių grupės interneto svetainę

Pasaulinio žiniatinklio trisdešimtmečio proga „Penki kontinentai“pristato atnaujintą savo interneto svetainę. skaityti »

Kaip grynųjų pinigų apyvartos valdymo sprendimai padeda bankams taupyti

Bankai į savo techninės infrastruktūros atnaujinimą kasmet investuoja šimtus milijonų eurų. Finansinių operacijų apdorojimo, rizikų valdymo, grynųjų pinigų kontrolės ir kitokios sistemos... skaityti »

„BS/2 Georgia“ 10 metų: nuo bankomatų tiekėjo iki strateginio partnerio

Kiekvienoje veiklos srityje yra lyderių, kuriančių inovacinius produktus, besiveržiančių į priekį ir mėginančių atspėti klientų poreikius, siekiančių teikti paslaugas profesionaliai ir efektyviai. skaityti »

Kas naudingiau? Automatinės grynųjų pinigų įnešimo mašinos ar automatiniai seifai?

Grynieji pinigai tebėra pagrindinė atsiskaitymo priemonė bankų skyriuose ir prekybos centruose. Už kasdienes prekes ir paslaugas pirkėjai įpratę atsiskaityti popieriniais pinigais ir monetomis. skaityti »

„Penkių kontinentų“ įvaizdinis filmas tarptautiniame rinkodaros konkurse „ATMmys“ pelnė apdovanojimą

Įmonių grupės „Penki kontinentai“ įvaizdinis filmas „Rytojaus technologijos šiandien“ tarptautiniame rinkodaros projektų konkurse „ATMmys“ (angl. ATM Industry Marketing Awards) laimėjo geriausio videoprojekto apdovanojimą. skaityti »

Bankinės įrangos priežiūros sėkmė: operatyvumas ir teikiamų paslaugų lankstumas

Populiarėjant elektroniniams atsiskaitymams, vis paklausesnė tampa bankinė įranga: bankomatai, informaciniai kioskai su grynųjų pinigų išėmimo-įdėjimo funkcijomis, automatinių seifų, elektroninių kortelių skaitytuvų ir kt. skaityti »

„ProfIT“ laimėjo „Lietuvos geležinkelių“ viešųjų pirkimų konkursą

„Penkių kontinentų“ grupės įmonė „Penkių kontinentų komunikacijų centras“ (PKKC), teikianti paslaugų kompleksą verslui „ProfIT“, laimėjo AB „Lietuvos geležinkeliai“ viešųjų pirkimų konkursą dėl telekomunikacinių medžiagų tiekimo. skaityti »

BS/2 antrinė įmonė Kirgizijoje švenčia 10-metį

BS/2 antrinei įmonei Kirgizijoje „BS/2 Bishkek“ vasario 19 d. sukanka 10 metų. Per šiuos metus įmonė reikšmingai prisidėjo prie minėtos šalies bankinio sektoriaus plėtros. skaityti »