Vì sao hacker rút được tiền từ máy ATM mà không cần thẻ?

Hầu hết ATM (máy rút tiền tự động) trên thế giới đều có thể bị truy cập trái phép thậm chí không cần đến phần mềm độc hại.

Theo nghiên cứu do chuyên gia Kaspersky Lab thực hiện, tình trạng máy ATM bị hacker kiểm soát xảy ra là do việc sử dụng rộng rãi phần mềm không an toàn và lỗi thời, lỗi cấu hình mạng và thiếu an toàn vật lý ở nhiều phần quan trọng của máy ATM.

Máy ATM rất dễ bị hacker kiểm soát, rút tiền.

Mối đe dọa lớn nhất với người dùng và chủ thẻ ATM trong nhiều năm từng là Skimmer - thiết bị đặc biệt được gắn vào máy ATM để đánh cắp dữ liệu từ thẻ ngân hàng. Trong năm 2014, các nhà nghiên cứu tại Kaspersky Lab phát hiện Tyupkin - một trong những ví dụ điển hình về phần mềm độc hại được nhiều người biết đến. Tới năm 2015, chuyên gia của công ty đã vạch trần băng đảng Carbanak, có khả năng trục lợi từ máy ATM thông qua cơ sở hạ tầng yếu kém của ngân hàng.

Những vấn đề về phần mềm

Sau khi nghiên cứu, các chuyên gia đã chứng minh rằng, tấn công bằng phần mềm độc hại vào hệ thống ATM xảy ra là do 2 vấn đề bảo mật chính: Hệ điều hành Windows XP cũ kỳ và chuẩn XFS lạc hậu.

Nhiều người dân tại Việt Nam cũng đã bị mất tiền do kẻ gian rút trên máy ATM.

Tất cả ATM là máy tính (PC) chạy trên hệ điều hành phiên bản cũ như Windows XP. Điều này khiến chúng dễ bị tấn công bằng phần mềm độc hại và bị khai thác. Trong phần lớn trường hợp, phần mềm đặc biệt cho phép PC tương tác với hệ thống ngân hàng và phần cứng, xử lý tiền mặt và thẻ tín dụng, dựa trên chuẩn XFS.

Đây là một công nghệ khá cũ và không an toàn, ban đầu được tạo ra để tiêu chuẩn hóa các phần mềm trên máy ATM, để nó có thể làm việc trên bất kỳ thiết bị của bất kỳ nhà sản xuất nào. Vấn đề là XFS không đòi hỏi ủy quyền cho các lệnh nó xử lý, có nghĩa là bất kỳ ứng dụng nào được cài đặt vào máy ATM đều có thể ra lệnh cho bất kỳ thành phần phần cứng nào khác, bao gồm cả đầu đọc thẻ và máy rút tiền.

Nhờ đó phần mềm độc hại lây nhiễm thành công vào máy ATM, có quyền hạn gần như không bị kiểm soát: Nó có thể kiểm soát phím nhập mã PIN và đầu đọc thẻ để lấy toàn bộ số tiền được lưu trữ trong máy ATM theo lệnh của hacker.

Những vấn đề về phần cứng vật lý

Trong nhiều trường hợp được các nhà nghiên cứu tại Kaspersky Lab ghi nhận, tội phạm mạng không cần dùng phần mềm độc hại để lây nhiễm mã độc vào máy ATM hoặc mạng lưới ngân hàng. Nguyên nhân là do bản thân máy ATM thiếu an toàn vật lý - vấn đề thường gặp ở thiết bị này.

Máy ATM thường được xây dựng và cài đặt theo cách mà bên thứ ba dễ dàng xâm nhập vào máy tính bên trong máy ATM hoặc cáp mạng kết nối máy với internet. Sau khi đạt được quyền truy cập vào ATM, tội phạm mạng có thể thực hiện 2 tác vụ: Cài đặt lại máy vi tính đặc biệt được lập trình (gọi là hộp đen) bên trong máy ATM, giúp cho những kẻ tấn công truy cập từ xa vào máy ATM, và kết nối ATM  đến trung tâm xử lý giả mạo.

Trung tâm xử lý giả mạo là máy chủ xử lý dữ liệu thanh toán giống hệt với máy chủ của ngân hàng, mặc dù thực tế nó không thuộc về ngân hàng. Một khi máy ATM được kết nối với một trung tâm xử lý giả mạo, những kẻ tấn công có thể gửi tói bất kỳ lệnh nào mà chúng muốn. Tất nhiên, máy ATM sẽ tuân theo.

Có thể bảo vệ kết nối giữa máy ATM và trung tâm xử lý bằng nhiều cách. Chẳng hạn như sử dụng phần cứng hoặc phần mềm mã hóa máy chủ ảo VPN, giao thức bảo mật SSL/TLS, tường lửa hoặc xác thực địa chỉ MAC (địa chỉ riêng biệt của mỗi thiết bị phần cứng trên internet) trong giao thức xDC. Tuy nhiên những biện pháp này thường không được sử dụng, tội phạm mạng không cần phải giả mạo phần cứng, thay vào đó chúng chỉ cần khai thác những điểm thiếu an toàn trong mạng lưới liên lạc giữa máy ATM và hệ thống ngân hàng.

Ngân hàng phải làm gì để ngăn chặn tình trạng này?

Olga Kochetova - Chuyên gia bảo mật ở bộ phận Kiểm tra Xâm nhập của Kaspersky Lab, cho biết: “Kết quả nghiên cứu cho thấy, cho dù các nhà cung cấp có cố gắng phát triển máy ATM với nhiều chức năng mang tính bảo mật cao thì nhiều ngân hàng vẫn sử dụng thiết bị cũ thiếu an toàn. Đây chính là thực tế ngày nay khiến nhiều ngân hàng và khách hàng của họ chịu tổn thất tài chính to lớn.

Theo quan điểm của chúng tôi, đây là kết quả của quan niệm sai lầm trong thời gian dài rằng, tội phạm mạng chỉ hứng thú với Internet Banking. Đúng là chúng hứng thú với các cuộc tấn công này, nhưng chúng ngày càng thấy giá trị từ điểm yếu của máy ATM vì tấn công trực tiếp vào thiết bị có thể rút ngắn đường đi của tiền thật nhất”.

Mặc dù những vấn đề bảo mật được liệt kê ở trên có khả năng ảnh hưởng rất nhiều đến máy ATM trên khắp thế giới, nhưng không có nghĩa tình trạng này không thể thay đổi. Nhà sản xuất máy ATM có thể giảm nguy cơ tấn công vào máy rút tiền bằng cách áp dụng các biện pháp sau:

- Xem xét lại tiêu chuẩn XFS, tập trung vào sự an toàn và xác thực 2 yếu tố giữa thiết bị và phần mềm hợp pháp. Việc này sẽ giúp giảm khả năng rút tiền trái phép bằng trojan hay đoạt quyền kiểm soát trực tiếp trên máy ATM của kẻ tấn công.

- Thực hiện “authenticated dispensing” để loại bỏ khả năng tấn công qua trung tâm xử lý giả mạo.

- Bảo vệ bằng mật mã và kiểm soát toàn vẹn trên dữ liệu được truyền giữa các đơn vị phần cứng và máy tính bên trong máy ATM.