Así pueden hackear el cajero mientras estás sacando dinero

La seguridad en los cajeros automáticos normalmente está asociada a medidas de protección frente a intentos de robos físicos o a estafas. Sin embargo, en España ya se ha dado la voz de alerta sobre varios casos de rotura de seguridad a distancia a manos de cibercriminales. 

En concreto, se han reportado varios casos de 'jackpotting', un tipo de ataque que convierte los cajeros en 'fuentes de billetes'. Los hackers normalmente utilizan hasta cuatro tipos de ataques diferentes para robar dinero de un cajero y, de momento, poco freno se le puede poner.

Los hackers son conscientes de cuáles son los puntos débiles de estas máquinas, y utilizan todas sus herramientas para superarlos, según explica Check Point, empresa especializada en ciberseguridad a nivel mundial, en un estudio. El sistema operativo es uno de ellos, ya que por lo general los cajeros sueln utilizar versiones antiguas que están totalmente desprotegidas frente al malware actual.

"A pesar de lo que pueda parecer, hackear un cajero automático es relativamente sencillo, ya que no suelen contar con herramientas de protección frente a ciberataques", indica a OMICRONO Eusebio Nieva, director técnico de Check Point para España y Portugal. Sin embargo, Nieva explica que buena parte del éxito de los piratas informáticos se debe a "errores en la configuración de los sistemas, la falta de actualizaciones o, incluso, fallos en la seguridad física que permiten al hacker acceder al cajero", ha detallado Nieva. 

Directo al servidor

Las grandes cantidades de dinero a las que pueden acceder los ciberdelincuentes hace que hackear un cajero automático se convierta en un objetivo muy codiciado por su alta rentabilidad en poco tiempo.

Uno de los ataques más utilizados es el denominado Man-in-the-Middle. Como muchos otros dispositivos electrónicos, los cajeros automáticos están conectados a Internet. Una conexión de la que los hackers se aprovechan intervenir el tráfico de datos entre el cajero automático y su servidor.

El sistema operativo es uno de los puntos débiles de los cajeros automáticos.

De esta manera, el ciberdelincuente toma el control de las operaciones que realiza un cajero automático, además de recabar una gran cantidad de información de los usuarios, como las credenciales bancarias o sus nombres completos. "Este tipo de ataques no van contra el usuario, sino contra el propio banco. Por esa razón hay ciertos factores que estas entidades deben proteger, como la comunicación central", ha explicado Nieva.

El Spoofing es otro tipo de ciberataque que pone el foco en el centro de procesamiento de los cajeros automáticos, que se encarga de validar todas las operaciones que se llevan a cabo: desde la retirada de dinero en efectivo a transferencias. El pirata informático debe conseguir desconectar al cajero de la red del banco para tomar el control de las actividades que realiza.

Una vez logrado, puede acceder a grandes cantidades de dinero con tan solo introducir una tarjeta o un código PIN, logrando que la transacción parezca legítima al suplantar la identidad de los usuarios del banco.

Un falso técnico

La tercera técnica que más utilizan los hackers tiene que ver con el malware, que lo introducen en los cajeros de dos formas. La primera de ellas es presencialmente, con un USB infectado en el bastidor del cajero; la otra por su parte se logra atacando la red del banco y descargando el programa malicioso directamente en la máquina. 

Al instalar el programa malicioso en ellos, los hackers pueden enviar comandos al cajero para sacar el dinero hasta agotar su capacidad. "Los sistemas operativos instalados en los cajeros automáticos no disponen de protección contra este tipo de amenazas. Los bancos deben actualizarlos, ya que algunos incluso tienen más de 10 años, como Windows NT. Microsoft ni siquiera da soporte a este sistema operativo que se puede encontrar en algunos de éstos. No hay software de protección", advierte Nieva. 

Los ciberdelincuentes consiguen hackear cajero para que 'escupan billetes'.

Por último, los piratas informáticos también llevan a cabo el 'jackpotting', un tipo de ataque para el que sí se necesita tener acceso físico al interior del cajero, y por ello en la gran mayoría de ocasiones se hacen pasar por técnicos de mantenimiento.

Una vez conseguido, los piratas informáticos conectan una especie de caja negra que se puede controlar a través de un móvil a un puerto USB del equipo, que permite lograr el control total del cajero y de todo el dinero que almacena.

Los hackers reconfiguran el software para conseguir que la pantalla del cajero muestre un mensaje de 'fuera de servicio', aunque el dispositivo permite retirar dinero. Usando un smartphone, los hackers pueden enviar una orden al cajero para que expulse todo el dinero de forma inmediata.

Al terminar, el cibercriminal desinstala la caja negra para no dejar pruebas. "Con este ataque, los hackers consiguen que la máquina comience a 'escupir dinero' y luego utilizan mulas, que se llevan un porcentaje, para que recojan los billetes. Incluso esta técnica se puede utilizar mientras un usuario saca dinero, haciéndole creer que el cajero no saca los billetes por un error para que, una vez que se marche, una mula se haga con ellos", ha explicado Nieva.

Medidas para evitarlo 

Los bancos no deben dejar de lado tampoco la protección física. Generalmente los cajeros están 'blindados' con una carcasa, pero en algunas ocasiones los delincuentes optan por "robar directamente el cajero para estudiarlo a fondo para después atacar otro haciendo un taladro o agujero en el sitio adecuado, y con una interfaz 'seria' se conectan directamente a la consola del cajero. Incluso pueden conectar un USB o una tarjeta inteligente", ha explicado el director técnico de Check Point. 

Los bancos deben tomar una serie de medidas para protegerse de estos ataques.

Las entidades bancarias también deberían llevar a cabo una serie de medidas con las que proteger el cajero, como "verificar qué software se está ejecutando y si las versiones no son correctas, automáticamente deshabilitar el cajero; o que la conexión con la central vaya siempre cifrada a través de una VPN robusta. Incluso una medida sencilla sería cifrar el disco duro del cajero para que si alguien se lo lleva no pueda extraer información de ahí", ha indicado Nieva.

Es importante también que los fabricantes de los cajeros automáticos adapten el software a un banco determinado y se adelanten a los atacantes. "En algunas ocasiones se ha visto que están más protegidos los ordenadores de los empleados del banco que el propio software que está corriendo por el cajero. Por diferentes motivos, pero principalmente porque el sistema operativo es tan antiguo que no se fabrican medidas de seguridad modernas para dichos sistemas", ha concluido Nieva. Por su parte, los usuarios siempre pueden habilitar las notificaciones del banco para conocer todos los movimientos de sus cuentas, y así estar al corriente de todo para evitar cualquier susto o sorpresa desagradable.