Des bugs logiciels sur des distributeurs de billets permettaient de faire croire à de faux dépôts de billets. Mais pour exploiter la faille, il fallait un accès physique à la machine.

Si des malfaiteurs parviennent à convaincre un système informatique de créditer un compte bancaire pour un faux dépôt de billets, ils n’ont plus qu’à retirer de vrais billets — du même montant — dans la foulée pour obtenir un gain facile.

Voilà la manipulation relativement rare qui était permise par deux vulnérabilités similaires  dans les logiciels de deux grands producteurs de distributeurs de billets, Diebold Nixdorf et NCR. Les failles ont été découvertes l’an dernier par des chercheurs de Carnegie Mellon, qui ont publié deux alertes séparées sur le sujet le 20 août 2020.

Des liasses de billets retirés aux distributeurs après un dépôt falsifié. // Source : publicdomainpictures.net

Concrètement, le piratage consiste à envoyer des commandes à un des logiciels chargés de reconnaître le dépôt physique de billets au distributeur. La tâche n’est pas simple, puisqu’il faut accéder aux ports de la machine, puis y connecter un autre appareil.

Les deux entreprises concernées par la faille ont déployé des mises à jours de leur firmware (une couche logicielle basse, en charge des interactions avec le matériel). Désormais, c’est aux banques d’effectuer les mises à jour.

Si simple et pourtant si compliqué à mettre en place

Plus précisément, c’était la communication entre le centre de contrôle du distributeur et le composant chargé de la distribution des billets qui s’avérait vulnérable. Les chercheurs expliquent que les distributeurs ne vérifiaient pas l’intégrité des messages qui circulent entre les deux composants. Et puisque ces communications n’étaient ni chiffrées ni protégées par une authentification, un pirate pouvait les remodeler sans déclencher l’alerte. «  Les attaquants peuvent envoyer des commandes valides pour distribuer des billets », précisent les chercheurs. Diebold et NCR ont donc renforcé la sécurité de ces communications dans les nouvelles versions de leurs logiciels respectifs.

La falsification de dépôts de billet est une attaque connue, mais relativement peu répandue. Mais lorsqu’elle fonctionne, les malfaiteurs s’engagent dans une course contre la montre : ils doivent retirer les fonds inexistants discrètement, avant que les banques ne détectent le déséquilibre dans les soldes de leurs comptes. Ils tirent donc sur toutes les ficelles possibles pour décaler au plus tard l’alerte, par exemple en effectuant le retrait le week-end ou en allant au distributeur d’une autre banque qui devra communiquer avec là leur.

Reste que l’attaque est difficile à mettre en place, puisque les malfaiteurs doivent accéder aux ports du distributeur. Pour y parvenir, deux méthodes : la méthode douce, grâce à la clé de déverrouillage du châssis (obtenue par exemple, en soudoyant un employé), soit la méthode dure… à coup de perceuse.

Crédit photo de la une : Christoph Meinersmann/Pixabay

À propos d'ExpressVPN

ExpressVPN, annonceur exclusif de Cyberguerre, est un fournisseur de VPN premium. Il dispose de milliers de serveurs sécurisés répartis à travers le monde, permettant de délocaliser son adresse IP et de contourner les géoblocages. ExpressVPN ne conserve aucune trace de l'activité des utilisateurs. Son application de VPN, disponible sur ordinateur, mobile et routeur, est l'une des plus avancées du marché.

Plus d’informations sur la solution VPN d'ExpressVPN

Partager sur les réseaux sociaux