Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 27 Giugno 2021 07:32
Per anni, ricercatori di sicurezza e criminali informatici hanno hackerato gli sportelli automatici utilizzando tutte le vie possibili per raggiungere le loro parti interne, dall’apertura del pannello frontale a l’inserimento di una chiavetta USB in una porta USB alla perforazione per aprirsi un varco verso il cablaggio interno.
Ora, un ricercatore ha trovato una serie di bug che gli ha consentono di hackerare i bancomat, insieme a un’ampia varietà di terminali POS, in un modo nuovo: con un gesto del suo telefono su un lettore di carte di credito NFC.
Josep Rodriguez, ricercatore e consulente presso la società di sicurezza IOActive, ha trascorso l’ultimo anno a ricercare e scovare bug per poi segnalare le vulnerabilità rilevate nei cosiddetti chip di lettura delle comunicazioni near-field utilizzati in milioni di bancomat e sistemi di punti vendita in tutto il mondo.
I sistemi NFC sono ciò che ti consente di far passare una carta di credito su un lettore senza inserirla, per effettuare un pagamento o estrarre denaro da un bancomat. Li puoi trovare su innumerevoli banchi di negozi al dettaglio e ristoranti, distributori automatici, taxi e parchimetri in tutto il mondo.
Ora Rodriguez ha creato un’app Android che consente al suo smartphone di imitare le comunicazioni radio della carta di credito e sfruttare i difetti nel firmware dei sistemi NFC.
Con un gesto del telefono, può sfruttare una serie di bug per bloccare i dispositivi del punto vendita, hackerarli per raccogliere e trasmettere i dati della carta di credito, modificare invisibilmente il valore delle transazioni e persino bloccare i dispositivi e visualizzare un messaggio ransomware.
Rodriguez dice che può persino costringere almeno una marca di bancomat a erogare denaro, anche se quell’hack del “jackpotting” funziona solo in combinazione con dei bug aggiuntivi che dice di aver trovato nel software degli sportelli automatici. Ha rifiutato di specificare o divulgare pubblicamente tali difetti a causa di accordi di non divulgazione con i venditori di ATM.
“Puoi modificare il firmware e cambiare il prezzo di un dollaro, ad esempio. Puoi rendere inutilizzabile il dispositivo o installare una specie di ransomware. Ci sono molte possibilità”
dice Rodriguez e aggiunge
“Se concateni l’attacco e invii anche un carico utile al computer di un bancomat, puoi vincere il jackpot al suo interno, semplicemente toccando il tuo telefono”.
Rodriguez afferma di aver avvisato i fornitori interessati, tra cui ID Tech, Ingenico, Verifone, Crane Payment Innovations, BBPOS, Nexgo e il fornitore di ATM senza nome, delle sue scoperte fatte sette mesi e un anno fa.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneÈ stato rilasciato uno strumento che consente il monitoraggio discreto dell’attività degli utenti di WhatsApp e Signal utilizzando solo un numero di telefono. Il meccanismo di monitoraggio copre o...
Il MITRE ha reso pubblica la classifica delle 25 più pericolose debolezze software previste per il 2025, secondo i dati raccolti attraverso le vulnerabilità del national Vulnerability Database. Tali...
Un recente resoconto del gruppo Google Threat Intelligence (GTIG) illustra gli esiti disordinati della diffusione di informazioni, mettendo in luce come gli avversari più esperti abbiano già preso p...
All’interno del noto Dark Forum, l’utente identificato come “espansive” ha messo in vendita quello che descrive come l’accesso al pannello di amministrazione dell’Agenzia delle Entrate. Tu...
In seguito alla scoperta di due vulnerabilità zero-day estremamente critiche nel motore del browser WebKit, Apple ha pubblicato urgentemente degli aggiornamenti di sicurezza per gli utenti di iPhone ...
