Il malware che sputa contanti dagli sportelli bancomat si è diffuso in tutto il mondo

Alle 10 di una mattina di fine novembre a Friburgo, in Germania, un impiegato di banca notò che qualcosa non andava nel bancomat della banca.

Secondo un funzionario delle forze dell'ordine che ha familiarità con il caso, è stato violato con un malware chiamato "Cutlet Maker" progettato per far espellere dai bancomat tutto il denaro al loro interno.

"Ho-ho-ho! Oggi facciamo delle cotolette!" Sul pannello di controllo di Cutlet Maker si legge, accanto alle immagini dei cartoni animati di uno chef e di un pezzo di carne esultante. In un apparente gioco di parole russo, una cotoletta non significa solo un taglio di carne, ma anche un mucchio di soldi.

Un'indagine congiunta tra Motherboard e l'emittente tedesca Bayerischer Rundfunk (BR) ha scoperto nuovi dettagli su un'ondata di cosiddetti attacchi "jackpotting" agli sportelli bancomat in Germania nel 2017 che hanno visto i ladri rubare più di un milione di euro. Il jackpotting è una tecnica in cui i criminali informatici utilizzano malware o un componente hardware per indurre un bancomat a espellere tutto il suo denaro, senza che sia necessaria una carta di credito rubata. Gli hacker in genere installano il malware su un bancomat aprendo fisicamente un pannello sulla macchina per rivelare una porta USB.

In alcuni casi, abbiamo identificato la banca e il produttore di bancomat specifici interessati. Sebbene un'organizzazione no-profit europea abbia affermato che gli attacchi al jackpot sono diminuiti nella regione nella prima metà di quest'anno, diverse fonti affermano che il numero di attacchi in altre parti del mondo è aumentato. Le regioni attaccate includono Stati Uniti, America Latina e Sud-Est asiatico e il problema ha un impatto sulle banche e sui produttori di bancomat in tutto il settore finanziario.

"Gli Stati Uniti sono piuttosto popolari", ha detto una fonte vicina agli attacchi ai bancomat. Motherboard e BR hanno concesso l'anonimato a diverse fonti, tra cui funzionari delle forze dell'ordine, per parlare più apertamente di delicati episodi di hacking.

Uno screenshot del pannello di controllo di Cutlet Maker. Immagine: account Twitter di @CryptoInsane

*

Durante la conferenza annuale sulla sicurezza informatica Black Hat del 2010, il defunto ricercatore Barnaby Jack ha dimostrato dal vivo sul palco il proprio ceppo di malware ATM. Il pubblico è scoppiato in un applauso quando il bancomat ha visualizzato la parola "JACKPOT" ed ha espulso un flusso costante di banconote.

Ora attacchi simili sono stati lanciati in natura.

In quel caso di Friburgo non è stato rubato denaro contante, ha detto il funzionario delle forze dell'ordine. Ma Christoph Hebbecker, pubblico ministero dello stato tedesco della Renania Settentrionale-Vestfalia, ha detto che il suo ufficio sta indagando su 10 incidenti avvenuti tra febbraio e novembre 2017, compresi attacchi in cui i ladri sono riusciti a fuggire con pacchi di denaro. In totale gli hacker hanno rubato 1,4 milioni di euro (1,5 milioni di dollari), ha detto Hebbecker.

Hebbecker ha aggiunto che, data la natura simile degli attacchi, ritiene che siano tutti collegati alla stessa banda criminale. In alcuni casi, i pubblici ministeri hanno prove video, ma finora non hanno sospettati, hanno aggiunto.

"L'indagine è ancora in corso", ha detto Hebbecker in una e-mail in tedesco.

Diverse fonti hanno affermato che numerosi attacchi del 2017 in Germania hanno avuto un impatto sulla banca Santander; due fonti hanno affermato di aver coinvolto specificamente il modello di bancomat Wincor 2000xe, realizzato dal produttore di bancomat Diebold Nixdorf.

"In generale non commentiamo singoli casi specifici", ha detto in una telefonata Bernd Redecker, direttore della sicurezza aziendale e della gestione delle frodi presso Diebold Nixdorf. "Tuttavia, ovviamente abbiamo a che fare con i nostri clienti riguardo al jackpotting e siamo a conoscenza di questi casi." Diebold Nixdorf ha venduto questi bancomat anche sul mercato statunitense.

Una panoramica del modello 2000xe di ATM. Immagine: Wincor Nixdorf.

Un portavoce di Santander ha affermato in una dichiarazione inviata via e-mail: "Proteggere le informazioni dei nostri clienti e l'integrità della nostra rete fisica è al centro di ciò che facciamo. I nostri esperti sono coinvolti in ogni fase dello sviluppo del prodotto e delle operazioni per proteggere i clienti e la banca da frodi e minacce informatiche. Questa attenzione alla protezione dei nostri dati e delle nostre operazioni ci impedisce di commentare questioni di sicurezza specifiche."