2. Проблемы безопасности АТМ
и способы их решения
Ольга Кочетова
эксперт отдела анализа защищенности
Positive Technologies
Positive Hack Days III

3. Intro
НАФИ: 83% - снятие в ATM
32% - оплата услуг через ATM
Проблемы:
«Железо» и окружение
Софт и технологии
Социалка и инсайд

4. «Физика»: картридер
Решение:
Пассивный и активный
антискимминг, jitter
Контроль со стороны работников Банка
Оповещение Клиентов
Проблема:
скиммер

5. «Физика»: картридер
Решение:
Особая конструкция слота
Контроль со стороны
персонала
Оповещение Клиентов
Проблема:
траппинг

6. «Физика»: EPP
Решение:
«Чехол», прикрывающий клавиатуру
Контроль со стороны персонала
Оповещение Клиентов
Проблема:
камеры на EPP,
накладки на EPP

7. «Физика»: EPP
Решение:
Металлические клавиатуры
«Лишние» нажатия
Отключение звуков или «шум»
Проблема:
считывание тепла
и тоновых
сигналов

8. «Физика»: окружение
Решение:
Никаких зеркал!
Зона безопасности
Системы «обзор за спиной»
Проблема:
подглядывание,
зеркала

9. «Физика»: диспенсер
Решение:
Доработка шаттера
Проблема:
кэш-траппинг

10. «Физика»: сейф
Решение:
Доработка сейфа
Уникальные замки
Проблема:
уязвимости сейфа

11. «Физика»: системы слежения
Решение:
Внутренние и внешние скрытые камеры
Сигнализация
Системы геолокации
Проблема:
отсутствие камер,
сигнализации,
GPS-маячков

12. Банкомат: что внутри?
• ОС семейства Windows
• Драйверы
• Прикладное ПО

13. Банкомат без присмотра

14. Окна поверх платежного приложения

15. Вирусы на банкоматах – реальность

16. Криптоключи. Небезопасное
использование

17. Атаки на ППО. Как?
• Уязвимости, связанные с
целочисленным переполнением
и переполнением буфера
• HTML/JS injection (через
различные формы ввода), XSS
(Сross Site Sсriрting), CSRF (Сross
Site Request Forgery)

18. «Подарки» разработчиков
• PAN на чеках, в журналах и логах
(возможность настройки)
• Свободный доступ к реестру и
файлам (смена номиналов, смена
курса валют)
• ?

19. Базовые требования к безопасности ATM
• Базовые требования к безопасности ОС
• Базовые требования к безопасности ПО
• Обучение и ответственность персонала

20. Осторожно! Инсайд!
- Смена номиналов принимаемых/выдаваемых банкнот –
инженер, инкассатор.
- «Выщипывание» из опломбированных кассет – инкассатор.
- Cash In – внеочередная «инкассация» – инженер, кассир.
- Копирование задержанных карт – инженер, инкассатор.
- «Слив» ДСП – любой сотрудник.
- ???

21. В интернете можно найти все!

22. Безопасность АТМ. Как?

23. Конец рассказа
Спасибо за внимание
Ольга Кочетова
okochetova@ptsecurity.ru
137@ptsecurity.ru
Отдел анализа защищенности
Positive Technologies