Bancomat violabili usando semplicemente uno smartphone

Buona notizia: l’ha scoperto uno dei buoni.



[ZEUS News - www.zeusnews.it - 29-06-2021]

bancomat terminator2

C'è una celeberrima scena di Terminator 2 (1991) nella quale il giovane John Connor riesce a farsi dare soldi da un Bancomat semplicemente collegandogli un cavetto e un mini-computer portatile (un Atari Portfolio). È fantascienza, direte voi: finzione cinematografica. Non può essere così facile "hackerare" un Bancomat.

In realtà sì, perlomeno secondo quanto riferisce Wired.com. Alcuni Bancomat dotati di componenti NFC (quelli che consentono di appoggiare la carta di credito invece di inserirla) hanno un difetto che consente un attacco ancora più elegante di quello mostrato al cinema dal regista James Camero in Terminator 2: basta avvicinare al terminale uno smartphone Android contenente un'app appositamente programmata e diventa possibile mandare in tilt il Bancomat, modificarne il funzionamento in modo che raccolga e trasmetta dati delle carte di credito, alterare il valore delle transazioni e, in almeno un modello, fare quello che in gergo si chiama jackpotting, ossia far erogare al dispositivo una pioggia di banconote.

Ma niente panico: lo ha scoperto uno dei "buoni", il consulente informatico spagnolo Josep Rodriguez, che per mestiere verifica la sicurezza dei sistemi informatici bancari per conto delle aziende produttrici, che sono già state allertate oltre sette mesi fa. Il problema è stato corretto, anche se alcuni Bancomat possono continuare a manifestarlo se non sono stati aggiornati.

Un attacco così semplice da sembrare finzione scenica è in realtà possibile per via di un difetto elementare e classico: il software che gestisce molti lettori contactless (NFC) non fa alcuna validazione delle dimensioni del pacchetto di dati mandato dalla carta quando viene avvicinata al sensore.

Il software si aspetta che si tratti di una carta di pagamento, che si comporta secondo gli standard, e si fida di quello che la carta gli manda. L'app di Rodriguez, però, manda un pacchetto di dati centinaia di volte più grande del normale e questo genera un classico buffer overflow che permette di prendere il controllo del Bancomat o terminale di pagamento.

Per noi utenti, comunque, il rischio è minimo: le falle scoperte da Rodriguez non consentono di leggere il PIN e o i dati presenti nel chip integrato nella carta e riguardano soltanto le vecchie carte senza chip integrato, raramente usate in Europa. Il disagio è soprattutto per le banche, che devono aggiornare centinaia di migliaia di terminali in tutto il mondo.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
 

Paolo Attivissimo

(C) by Paolo Attivissimo - www.attivissimo.net.
Distribuzione libera, purché sia inclusa la presente dicitura.

Approfondimenti
Violare un bancomat? Basta premere Shift più volte
Malware per violare i bancomat in vendita nel dark web
Carte in vacanza: 10 consigli per evitare spese eccessive, truffe e raggiri
Riflessioni dall'India: il denaro secondo Modi
Due vulnerabilità di carte di credito col chip
Il registratore di cassa nello smartphone
Il malware russo che infetta i bancomat
''Mi racconti una barzelletta'' e altre 10 richieste improbabili

Commenti all'articolo (2)

Il fatto che l'abbia scoperto uno dei buoni? Leggi tutto
2-7-2021 18:06

Non la definirei una "buona notizia".
30-6-2021 11:49

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Fidanzati sospettosi o inguaribili diffidenti, qual è la vostra arma preferita tra quelle che Facebook mette a disposizione di voi gelosoni per controllare il vostro partner?
I cuoricini in bacheca: un segno per far sentire sempre e dovunque la propria presenza, nonché un espediente per marcare il territorio del partner.
L'applicazione "Chi ti segue di più?": bisogna convincere il partner a usare questa applicazione (apparentemente innocua) per scovare eventuali vittime da annotare sulla propria black list.
Facebook Places: permette di taggare compulsivamente il partner e rendere noto al mondo intero il fatto che lei e il suo lui si trovano sempre insieme.
L'auto tag nelle foto: indispensabile strumento per essere certi di ricevere notifiche qualora un'altra persona osasse commentare o piazzare "Mi piace" alle foto del/della partner.
I commenti minatori: il simpatico approccio ossessivo-compulsivo verso chi tagga il partner o ne invade la bacheca. Di solito consiste in un discreto: "Che bello il MIO amore!"
Il profilo Facebook in comune: un unico profilo scoraggia anche il più audace dei rivali dal tentare un approccio.
La password nota al partner: Della serie: "Amore, se non mi nascondi niente allora posso avere la tua password?". Nessun messaggio di posta, commento o notifica è al sicuro.
Il tasto "Rimuovi dagli amici": una volta in possesso della password del partner, qualsiasi rivale dalla foto profilo provocante o la cui identità è sconosciuta verrà subito rimosso dagli amici.
La trappola: spacciandosi per il partner (password nota), si inizia a contattare i presunti rivali e testare le loro intenzioni con domande e allusioni per far cadere in trappola anche i più astuti.
Il Mi piace minatorio: post, foto, tag, nuove amicizie sono regolarmente marchiati da un Mi piace del partner. Dietro una parvenza di apprezzamento, dimostrano quanto in realtà NON piaccia l'elemento.

Mostra i risultati (414 voti)
Febbraio 2023
L'Internet Archive adesso ospita anche le calcolatrici scientifiche
Facebook e Messenger scaricano intenzionalmente la batteria dello smartphone
Gennaio 2023
Windows 11, tre metodi per aggirare l'account Microsoft
Libero e Virgilio Mail offline da giorni, verso la risoluzione
Pesci da compagnia fanno acquisti sulla Switch all'insaputa del padrone
Il ritorno del Walkman
Invecchiare al tempo della Rete
Apache contro Apache
Cessa il supporto a Windows 7. Microsoft: “Non passate a Windows 10”
Lo smartphone con schermo e-ink da 6,1 pollici
Dicembre 2022
WhatsApp dal nuovo anno non funzionerà più su 47 smartphone
LastPass, la violazione è molto più grave del previsto
Netflix, giro di vite sulla condivisione delle password
Digitale terrestre: si spegne la TV in definizione standard
Disorganizzazione informatica fa desistere i cybercriminali
Tutti gli Arretrati
Accadde oggi - 6 febbraio


web metrics