Ataques contra cajeros automáticos

Los cajeros automáticos son máquinas recurrentes en nuestra vida diaria, sumamente útiles tanto para las personas, que pueden disponer de su efectivo en cualquier momento, como para los bancos, pues les permite ahorrar el costo de tener una persona atendiendo una ventanilla.

Dado el hecho que los cajeros guardan en su interior una gran cantidad de dinero y que trabajan con información financiera privada de muchas personas, no ha sido una sorpresa que sean el objetivo recurrente de las bandas de criminales. En este post repasaremos algunas de las técnicas que usualmente utilizan para hacerse con dinero ajeno y daremos algunas recomendaciones de cómo protegernos. 

Teclado y ranura falsos adheridos a un cajero para robar la información de los clientes que la utilicen (fuente)

Nota: El post está desarrollado para el caso de las tarjetas con banda magnética, las más utilizadas en América Latina y EEUU, y aún presentes en el resto del mundo mientras se hace la transición a las tarjetas con chip.

Clonación de la tarjeta

En este ataque se utiliza un dispositivo lector que captura la información de la banda magnética de la tarjeta (ATM skimmer en inglés) más un dispositivo que grabe la contraseña PIN del cliente (que puede ser una cámara de video o un teclado falso). Ambos elementos, datos de la tarjeta y PIN que el cliente conoce, son necesarios para comprometer la cuenta asociada del cliente. 

Cámara camuflada en un cajero que graba los PINs de los clientes (fuente)

Los delincuentes utilizan dos métodos para camuflar a sus dispositivos: emplean una  carcasa falsa que contiene ambos dispositivos y que cubre completamente al cajero automático o cada dispositivo es adherido de forma separada. En cualquier caso, la idea es que las personas que utilicen el cajero no se den cuenta que se trata de un equipo adulterado y con confianza introduzcan su tarjeta y marquen el PIN. 

Carcasa falsa puesta sobre un cajero (fuente)

ATM Skimmer que estaba adherido a la ranura de un cajero (fuente)

Es el ataque más utilizado por los delincuentes. En un sólo ataque de este tipo se captura la información de las muchas tarjetas utilizadas en el cajero automático. Con lo obtenido se puede producir tarjetas falsificadas que son utilizadas por los delincuentes para hacer retiros fraudulentos de dinero.   

Software malicioso (malware)

Dado que los cajeros automáticos son básicamente computadoras que corren principalmente con Windows como sistema operativo (Windows XP, usualmente en sus versiones Embedded o Profesional), estas pueden ser víctimas del malware, como lo puede ser cualquier equipo de cómputo.

Como es muy raro que alguien utilice un cajero automático para revisar su correoelectrónico y caiga víctima de un ataque de phishing, lo que los delincuentes necesitan es obtener acceso físico a los puertos del cajero, principalmente un puerto USB, para introducir el malware al sistema. Aunque también se han visto casos de que se han valido de la misma ranura para las tarjetas del cajero.

Tarjeta utilizada para infectar un cajero vía la ranura de tarjetas (fuente)

Una vez infectado el sistema, los delincuentes tienen dos opciones dependiendo de lo sofisticado del malware empleado: interceptar tanto la información de la tarjeta como el PIN del cliente (similar a Clonación de Tarjetas) o hacerse con el control de la función del cajero de dispensar el efectivo y sacar todo lo que se pueda.

Demostración de Tyupkin, malware que infecta cajeros automáticos (fuente)

Otros ataques

Otros intentos de hacerse con el dinero de los cajeros automáticos incluyen: utilizar una trampa que capture físicamente la tarjeta al ser introducida al cajero, violentar su caja fuerte o simplemente arrancar el cajero de su sitio y llevárselo. 

Precauciones

• Cuando se introduce la clave PIN, cubrir con una mano el teclado del cajero automático. De esta manera aunque los delincuentes consigan la información de la banda magnética de nuestra tarjeta, aún les faltará el PIN. Ojo, esto sólo sirve si utilizan una cámara de video para grabar el momento en que introducimos el PIN (lo usual), no si se utiliza un teclado falso o malware.
• Preferir los cajeros ubicados dentro de los bancos o que están en lugares iluminados con bastante público.
• Fijarse si hay algo inusual o sospechoso en el cajero.
• Revisar regularmente el saldo de la cuenta bancaria y demás estados financieros.

 

El siguiente es un video grabado por una cámara puesta por delincuentes en un cajero automático, nótese lo efectivo que es cubrir el teclado para proteger la clave PIN.

Saludos.