Jackpotting: les attaques numériques de banque en hausse

Dans le monde de la sécurité, on assiste à une recrudescence non seulement des rançongiciels, mais aussi du ‘jackpotting’, entendez le piratage de distributeurs automatiques de billets. Mais comment prévenir de telles attaques de DAB?

En fait, il est compréhensible que de tels distributeurs soient la cible de voleurs. Ils renferment en effet des sommes importantes presque à portée de main en rue. Sur le plan physique, ceux-ci sont nettement plus accessibles que des serveurs dans le cloud qui stockent tous les numéros de comptes de banque. Sont-ils pour autant le maillon faible du système bancaire? “Je ne pense pas qu’une telle affirmation soit aussi simple. Mais les distributeurs sont des appareils spéciaux”, note Stefano Cipollone, ‘business development manager’ chez Auriga, l’un des éditeurs (d’origine italienne) de logiciels de gestion d’automates bancaires et par ailleurs développeur d’une plateforme de cybersécurité pour DAB, baptisé Lookwise Device Manager. Il précise que de tels appareils sont à mi-chemin entre la technologie opérationnelle (OT, souvent associée à l’industrie) et la technologie de l’information (les ordinateurs donc).

“C’est de l’OT, mais à l’intention de l’utilisateur final. C’est pourquoi une sécurité spécifique est nécessaire et qu’on ne peut se permettre d’installer simplement un antivirus pour PC”, dixit Cipollone.

Braquage numérique

Reste qu’une sécurité est évidemment nécessaire, comme le prouvent les attaques menées en juin et juillet de l’année dernière contre une série de DAB d’Argenta dans notre pays. Il s’agissait en l’occurrence de braquage numérique où un maliciel est utilisé pour prendre le contrôle sur des automates. Finalement, Argenta a été contrainte de mettre hors service une partie de son parc de DAB.

“Les automates bancaires sont l’objet de 4 types d’attaques, résume Cipollone. D’abord les attaques ‘man-in-the-middle’ où l’on tente de prendre le contrôle sur l’appareil à distance via le réseau, ce qui permet de lui faire exécuter une tâche, par exemple donner de l’argent.” Précisons que dans ce cas, l’automate doit être d’une manière ou d’une autre connecté à l’Internet ou à un réseau, par exemple via une ligne téléphonique. “Dans notre pays, ceci n’est en général pas possible, mais tel pourrait être le cas en Inde par exemple où ce type d’attaques existe”, note encore Cipollone.

Par ailleurs, il existe le ‘skimming’ où le pirate a glissé son propre lecteur de carte dans l’appareil, souvent en combinaison avec une caméra qui enregistre le code PIN de l’utilisateur et qui permet ensuite d’effectuer des achats avec cette carte.

Une autre technique, plus fréquente celle-là, est le ‘jackpotting’, un procédé sans doute utilisé chez Argenta. “Ici également, le pirate donne une commande de deux manières différentes. La première est l’attaque physique avec une ‘boîte noire’ qui est installée dans le DAB lui-même et qui permet d’accéder au distributeur pour lui donner un ordre. L’autre manière consiste à installer un maliciel dans le DAB, lequel exécute également une commande.”

Comment se protéger contre ce type d’attaque? “Nous analysons le système d’exploitation pour voir si une clé USB a été installée ou retirée, explique Cipollone. Nous recevons un signal lorsqu’une clé est insérée et pouvons alors prendre des mesures pour contrer toute tentative d’action. Un ‘security operating center’ se charge de ce contrôle. Au niveau du ‘malware jackpotting’, nous veillons à ce que le système d’exploitation ne puisse être modifié et nous n’installons que des applications autorisées. Ainsi, il sera impossible d’installer un exécutable pour prendre le contrôle du logiciel. Enfin, le disque est crypté pour empêcher toute installation de logiciel supplémentaire.”