De tijd van plof- en ramkraken op geldautomaten is voorbij. Als we digitale beveiliger Kaspersky Lab mogen geloven, zijn de automaten erg kwetsbaar voor aanvallen op de hard- en software.

Een groot deel van de geldautomaten in de wereld draait nog steeds op Windows XP, een besturingssysteem dat al jaren niet meer wordt geüpdatet door Microsoft. Het is daarom niet moeilijk voor een ervaren hacker om het systeem om de tuin te leiden.

De pc’s praten via het gestandaardiseerde maar verouderde XFS-systeem met de banken. Zo kan de automaat controleren of je wel voldoende saldo hebt en hoeveel het gaat afschrijven na de geldopname.

Hoewel de standaarden voor de geldautomaten daardoor bijna overal gelijk zijn, laat de veiligheid wel te wensen over. De XFS-protocollen vereisen geen autorisatie voor de commando’s die het moet uitvoeren. Een malware-app die een hacker zou loslaten op een geldautomaat met dit systeem, zou daardoor het hele apparaat kunnen overnemen. “Met inbegrip van de kaartlezer en de unit die de bankbiljetten uitbetaalt”, schrijft Kaspersky in haar onderzoeksverslag.

Gevolg van de inbraak is dat de hacker volledige controle krijgt over de geldautomaat en die dus kan opdragen om al het beschikbare geld uit te keren. Zonder dat er een koevoet of schroevendraaier aan te pas hoeft te komen.

Beveiliging kritieke hardware

Ook de beveiliging van de kabels en andere kritieke hardware laat te wensen over. Vaak hoeven bankrovers niet eens een kwaadwillend programma te schrijven om toegang te krijgen tot de bankbiljetten. "Vaak zijn de automaten dusdanig geconstrueerd en geïnstalleerd dat derden gemakkelijk toegang kunnen krijgen tot de pc of de netwerkkabel die de automaat verbindt met internet."

Kaspersky Lab ziet ruimte voor oplossingen, hoewel het geen cijfers noemt van de aantallen geldautomaten die een risico zouden lopen. Allereerst moet de verouderde XFS-standaard vervangen worden. Of op z'n minst gemoderniseerd.

Toen Kaspersky-beveiligingsexpert Olga Kotsjetova verschillende fabrikanten van de automaten aanschreef over de risico's, kreeg ze bijzondere antwoorden. Bijvoorbeeld: "De kwetsbaarheden zijn in wezen normale specificaties van de kaartlezers en niet per se onverwacht. Zolang de geldautomaat binnen de normale parameters opereert, kunnen deze problemen nooit voorkomen", citeert ze in een uitgebreid artikel op Securelist.

Dit artikel is oorspronkelijk verschenen op z24.nl