Видеозапись об этом была продемонстрирована на телеканале CNN. После перепрограммирования, банкомат Tranax Mini-Bank, расположенный в штате Вирджиния, США, выдавал двадцатки вместо пятерок в течение девяти дней, пока не нашелся честный пользователь, сообщивший о проблеме в банк. Мошенника, использовавшего предоплаченную карту, пока не удалось обнаружить.
Специалисты по информационной безопасности выяснили, что для взлома машины Tranax Mini-Bank достаточно прочесть руководство для операторов, свободно доступное в интернете. В 102-страничном руководстве подробно объясняется, как перевести банкомат в диагностический режим и перепрограммировать на свое усмотрение. Конечно, вход в такой режим требует знания специального кода, однако большинство банкоматов используют пароли, установленные по умолчанию, также указанные в руководстве.
На территории США работают 70 тыс. уязвимых банкоматов Tranax Mini-Bank 1500. В Tranax обещают выпустить обновление, закрывающее проблему путем изменения операторских паролей, заданных по умолчанию.
«Во избежание подобных инцидентов международные платежные системы VISA и MasterCard разработали специальный единый стандарт защиты информации в индустрии платёжных карт – Payment Card Industry Data Security Standard, который введён как обязательный для мерчантов (торговых предприятий) и поставщиков услуг (процессинговые центры, интернет-провайдеры и др.) на территории Америки, Европы, а также с недавнего времени и на территории стран CEMEA, — комментирует Наталья Зосимовская, ведущий специалист компании «Информзащита». — Одним из основных положений данного стандарта по безопасности является положение о контроле за сменой выставленных по умолчанию производителем системных паролей и других параметров системы безопасности. Работая в соответствии с требования данного стандарта, компании смогут себя обезопасить от подобных инцидентов».
«Несмотря на то, что такое сообщение больше напоминает анекдот, этот сюжет вполне реален, — говорит Алексей Раевский, генеральный директор компании SecurIT. — Отладочные или диагностические режимы работы систем всегда были наиболее привлекательным инструментом хакера, а пароли и PIN-коды по умолчанию – первое, с чего начинается хакерская атака. Вызывает удивление, что архитектура операционной системы банкомата позволяет осуществить его ввод в эксплуатацию без смены служебного PIN-кода, а сотрудники, отвечающие за обслуживание банкоматов, оказались столь беспечны, что не проследили за этим. Можно лишь посочуствовать владельцам банкоматов, которым предстоит подсчитывать убытки, связанные с их некорректной эксплуатацией и расходами на перепрограммирование. Вполне возможна такая ситуация и в России — не слишком серьезное отношение к вопросом информационной безопасности и надежда на «авось» является традиционно российской проблемой».
