Seguridad en cajeros

A 50 años de su creación, esta máquina de la banca automatizada es el blanco de cibercriminales

El primer cajero automático fue utilizado en Londres el 27 de junio de 1967. En lugar de la tarjeta plástica de hoy con una banda magnética y un microchip incrustado, la primera máquina aceptó un trozo de papel con una sustancia ligeramente radiactiva –carbono-14– impresa con un patrón particular. La máquina buscaba la coincidencia entre el patrón y el código numérico introducido por el usuario.

Al utilizar un cajero automático moderno, un cliente inserta una tarjeta en el lector de la máquina, que registra los datos codificados en la banda magnética o en su chip. El aparato le solicita un número de identificación personal, generalmente llamado PIN. Si la tarjeta y el PIN coinciden, entonces el cliente puede depositar dinero, revisar el saldo de una cuenta o, más comúnmente, solicitar retiro de efectivo. Cuando el cliente especifica una cantidad de dinero, la máquina utiliza una conexión a internet o una línea telefónica para conectarse con el banco para verificar que los fondos están disponibles.

Problemas

Los cajeros automáticos son objetivos atractivos para los delincuentes. Un robo sofisticado implica vigilar encubiertamente al dispositivo y a sus usuarios. Los ladrones pueden instalar pequeñas cámaras en diferentes lugares, a veces escondidas por paneles de plástico que parecen partes normales de la máquina. Así pueden capturar el número de tarjeta, su fecha de vencimiento, el nombre en la tarjeta e incluso el número de seguridad de tres dígitos de la parte posterior. Eso es información más que suficiente para hacer que compras en línea no autorizadas parezcan legítimas.

Los estafadores también pueden vender los datos en los mercados negros en internet.
Al instalar ranuras de tarjetas falsas o incluso accesorios adicionales (llamados skimmers), los atacantes pueden leer la información de las bandas magnéticas. Eso puede ayudarles a hacer duplicados de las tarjetas.

Un estudio reciente encontró que una cámara térmica también puede capturar el PIN al identificar las teclas ligeramente calentadas porque fueron presionadas por el usuario.

Específicamente, los investigadores encontraron que la exactitud de la detección del PIN podría ser hasta del 78% cuando los rastros del calor se registran no más allá de 30 segundos después de la autentificación.

¿Se pueden hackear?

Los cibercriminales tienen varias opciones. Las envolturas externas de cajeros automáticos a menudo ocultan los puertos USB utilizados para el mantenimiento del software y la actualización. Si un atacante los localiza, puede insertar una unidad USB portátil con un programa malicioso instalado y así tomar el control de la máquina. Eso esencialmente permite al atacante dispensar efectivo sin usar una tarjeta.

Hace unos años, cierto ataque se hizo popular. Implicaba cortar agujeros en la cubierta del cajero para desconectar los cables entre la computadora y el mecanismo que distribuye el efectivo. Al conectar otra computadora al sistema, se le daba la orden de liberar grandes cantidades de dinero.

La conexión de telecomunicaciones ofrece otro medio de ataque. Al interceptar las comunicaciones entre la máquina y el banco, un atacante puede recopilar datos útiles de la tarjeta y de la cuenta.

Medidas de protección

Los clientes se verán obligados a utilizar métodos de seguridad cada vez más avanzados para identificarse en los cajeros automáticos. Un método es la autenticación de dos factores, que agrega una capa adicional de seguridad antes de permitir el acceso a una cuenta. Hay aplicaciones que generan nuevos códigos cada pocos segundos. Sin este código, un atacante no puede acceder a la cuenta bancaria de la víctima.

Es probable que los futuros métodos de autenticación de usuarios en los cajeros automáticos impliquen el uso de la biometría, como las huellas dactilares, que podrían incluso reemplazar a las tarjetas y al PIN que han compartido los bancos y usuarios durante los últimos 50 años de banca automatizada.

Temas:

cajeros automáticos seguridad seguridad informática software internet