Toename van malware-aanvallen op oude geldautomaten
Oude geldautomaten worden wereldwijd geïnfecteerd met malware waardoor criminelen vervolgens de inhoud van de geldcassettes kunnen legen. Dat laat geldautomatenfabrikant NCR weten. De aanvallers weten fysiek toegang tot de geldautomaat te krijgen en kunnen vervolgens via USB of de cd-romspeler de malware op het Windows-besturingssysteem van de geldautomaat installeren. Onlangs werd bekend dat criminelen in Rusland een miljoen euro door het aanvallen van geldautomaten hadden gestolen, terwijl er in Maleisië via geldautomaten-malware 720.000 euro werd buitgemaakt.
Daarbij speelt het nog geen grote rol dat veel van deze automaten op Windows XP draaien, zo laat een woordvoerder van NCR tegenover IT-journalist Brian Krebs weten. "Het speelt geen grote rol, maar het is wel iets dat geldautomaatbeheerders moeten overwegen bij het migreren naar nieuwere systemen", zegt Owen Wild. Hij merkt op dat het voor aanvallers iets eenvoudiger is om bij de oude geldautomaten die niet zijn beveiligd toegang tot de cd-rom of USB-aansluiting te krijgen.
Ongeveer de helft van alle geldautomaten van NCR die wereldwijd in gebruik zijn, zijn zeven jaar of ouder. Wild laat verder weten dat de aanvallen alleen op losstaande geldautomaten plaatsvinden. Wild adviseert beheerders, naast het nemen van fysieke maatregelen om de toegang tot de geldautomaat af te schermen, om de BIOS te vergrendelen, zodat het niet mogelijk is om vanaf USB of cd-rom op te starten.
Je zou toch verwachten dat dat soort basale beveiligingsmaatregelen (ook bij apparaten van 7 jaar oud) in plaats zouden zijn. Welke randvoorwaarden zijn aanwezig als eisen voor beveiliging voor dit soort apparatuur ? En wie is verantwoordelijk voor de schade wanneer het mis gaat ?
Het is merkwaardig hoe slecht de beveiliging van dit soort apparatuur is, of bijvoorbeeld van betaalautomaten, die gevoelig zijn voor point of sale malware omdat er geen access control restrictions zijn die voorkomen dat deze automaten met willekeurige hosts op het internet communiceren.
Ik zou zeggen, het is geen tijd voor vrijblijvende adviezen, maar voor regelgeving richting leveranciers, waarbij zij volledig verantwoordelijk zijn voor schade indien zij zich niet aan deze regels houden (PCI compliancy is op dit moment kennelijk onvoldoende?).
Wanneer gaan we de eerst software skimming krijgen? Malware op de geld automaat die strip en pincode opstaat. Dan kan je je hand er voor houden wat je wilt maar dat heeft geen zin meer.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
