Cómo combatir el fraude en los cajeros automáticos

ATM, origen

Poder disponer de nuestro dinero las 24 horas del día desde cualquier parte del mundo es una comodidad con la que podemos contar hoy gracias a la función de los cajeros automáticos o ATMs (por sus iniciales en inglés Automated Teller Machine). Hace más de cuatro décadas, sin embargo, esa posibilidad no existía en el mundo financiero y la gente sólo podía disponer de su dinero en los bancos en su horario de apertura. En 1967, en la localidad de Enfield al norte de Londres, se inauguró el primer cajero automático, frente a una sucursal del Barclays Bank. Inicialmente los directivos de los bancos temieron que estos terminales automáticos tuviesen un impacto negativo en la relación con el cliente, pero pronto se dieron cuenta de las ventajas de la automatización.

ATM, una definición
Un cajero automático o ATM, es un dispositivo computarizado que ofrece a los clientes de una entidad financiera la capacidad de realizar operaciones bancarias sin necesidad de un empleado, con horario abierto las 24 horas del día

La mayoría de los cajeros automáticos modernos identifican al cliente por la tarjeta que el cliente inserta en el cajero automático, la cual dispone de una banda magnética o un chip que contiene un número de tarjeta única y cierta información de seguridad, como una fecha de caducidad y el código de validación de la tarjeta (CVC). El cliente se autentica introduciendo un número de identificación personal (PIN).
ATM, los problemas

El fenómeno de los cajeros automáticos ha ido creciendo de forma imparable desde que surgió, hasta alcanzar la cifra de más de 2 millones unidades en el mundo, con grandes ventajas tanto para el consumidor como para la entidad bancaria, aunque desde sus inicios, su seguridad, ha sido un problema de difícil solución.

Debido a la valiosa información que estos dispositivos manejan y a la propia gestión y almacenamiento de efectivo, no hay duda que un cajero automático es un elemento muy atractivo para los criminales. Actualmente nos encontramos con un incremento en los ataques a las redes de cajeros automáticos de manera organizada y altamente sofisticada, convirtiéndose en un gran problema, ya que provocan importantes pérdidas de dinero tanto a las entidades como a los clientes. Según datos aportados por EAST (European ATM Security Team), los bancos de 22 países europeos perdieron en conjunto 485 millones de euros durante 2008 debido al fraude en cajeros.

La agencia europea ENISA (European Network and Information Security Agency) en su último informe “ATM Crime” de 2009, alertó a los bancos europeos sobre un probable aumento del fraude en los cajeros, aconsejando que tomasen medidas para mejorar sus infraestructuras.

Los ataques básicos a un cajero se pueden clasificar en tres tipos: robo de información relacionada con la tarjeta financiera (banda y PIN), ataques a la infraestructura TI de los cajeros (y de las redes que emplean para procesar transacciones) y ataques físicos en cajeros automáticos. Tradicionalmente se ha venido prestando especial atención a los ataques físicos en los cajeros, para ello se han habilitado diversos controles de seguridad física en el lugar donde está ubicado el cajero, con cámaras de seguridad, cierres en los accesos…, pero hoy en día, el fraude en los cajeros tiende por un lado hacia técnicas que persiguen el robo de los datos de las tarjetas de crédito, con el fin de suplantar la identidad de la persona, y por otro lado hacia el ataque a las infraestructuras de las sucursales bancarias, para hacerse con el control remoto del cajero.

ATM, nuevas amenazas

Actualmente, uno de los objetivos del fraude en los cajeros consiste en el robo de los datos de los clientes que se encuentran en las tarjetas bancarias. Hasta hace poco estas tarjetas de crédito constaban de una banda magnética donde se almacenaba la información de identificación del cliente que permitía al usuario autenticarse y poder realizar transacciones. La banda magnética es fácil de copiar y falsificar, por lo tanto los ladrones han depurado técnicas maliciosas que les permitan obtener estos datos.

El sistema de fraude más común es conocido como “skimming”, y sucede cuando los datos de la banda magnética de la tarjeta se capturan en el cajero automático, a través de un lector de tarjetas modificado conocido como un dispositivo de duplicado. La información capturada es utilizada para falsificar tarjetas para su posterior uso fraudulento.

Este punto débil se está tratando de solventar con la introducción de tarjetas inteligentes EMV (también conocido como tarjetas con chip). La implantación de EMV reduce el fraude al reducir las posibilidades de obtener datos de la banda, más del 90% de los cajeros automáticos europeos son ahora compatibles con EMV.

De esta forma, una vez que el problema del “skimming” se ha controlado (aunque no haya desaparecido por completo), el fraude en cajeros parece que tiende hacia el ataque de las infraestructuras tecnológicas, los criminales se están dando cuenta de que es más rentable infectar el banco con algún tipo de software malicioso, pudiendo tomar el control remoto del cajero, en lugar de disponer de los datos de un usuario. Este fraude “silencioso” es más seguro y sostenible para los atacantes, ya que la entidad bancaria no se da cuenta del fraude hasta mucho después de que se haya producido, y en ocasiones resulta muy complicada la detección del origen del fraude.

Debilidades tecnológicas
La tecnología de los cajeros automáticos ha ido evolucionando de forma rápida en paralelo a su masivo despliegue. Con la introducción, en los últimos años, de sistemas operativos más modernos y flexibles se ha mejorado la experiencia de usuario y la oferta de servicios y funcionalidades en los cajeros, pero a la vez esta evolución ha traído consigo todos los problemas de seguridad asociados a entornos más abiertos y conocidos. En la actualidad la mayoría de cajeros emplean sistemas operativos Microsoft Windows para su funcionamiento común, (más del 85% de los incidentes de seguridad se producen en sistemas Windows), y utilizan redes IP como mecanismo de comunicación, lo que conlleva un aumento de riesgos de seguridad asociados a las vulnerabilidades existentes en este tipo de sistemas abiertos, siendo susceptibles de quedar infectados con software malicioso.

Los parches de seguridad emitidos por Microsoft deben ser probados y licenciados por el fabricante de la máquina, lo que supone un obstáculo adicional para mantener actualizado el software. Esto aumenta las posibilidades de que los cajeros –cuyos enlaces con los sistemas de back-end de los bancos a menudo no están encriptados- resulten más vulnerables a gusanos y malware.

Además del sistema operativo otro punto débil de los cajeros (quizás el más vulnerable y a la vez más rentable) es el variado y numeroso software instalado, desde los drivers de los fabricantes del cajero hasta la aplicación principal del cajero pasando por distintos tipos de middleware y frameworks de desarrollo. Todo este software es susceptible de ser atacado incluyendo en él modificaciones prácticamente imposibles de detectar que permitan tomar el control del cajero y acceder a los datos manejados por cada componente, al dinero, al PIN del usuario, etc.

Este último tipo de ataques al software del cajero es especialmente preocupante para las entidades bancarias por dos motivos fundamentalmente: son muy difíciles de detectar (el código modificado queda oculto activándose y desactivándose si fuese necesario) y el software clásico de protección de puestos de trabajo (anti-virus) no sirve para nada ya que no puede detectar estas situaciones.

Es por tanto necesario buscar en el mercado nuevas tecnologías de protección especialmente diseñadas para las redes de cajeros y sus requisitos y problemática concreta.

Soluciones GMV

Para mitigar estos riesgos de una manera sencilla y eficaz, GMV ha creado checker ATMSecurity, a través del cual se crea en el cajero automático un entorno de ejecución y de comunicaciones seguro, gestionado y monitorizado de forma centralizada.

checker es el primer producto de seguridad especialmente diseñado para sistemas de autoservicio financiero, que permite administrar de forma centralizada cuáles son las aplicaciones que se ejecutan en el sistema, a qué recursos locales o remotos acceden y con qué otros sistemas se comunican. Mediante este férreo control checker asegura en el cajero un entorno de alta seguridad que evita de raíz las infecciones provocadas por virus, troyanos, gusanos y otros “malware”, así como la introducción y ejecución de software malicioso con acceso a recursos sensibles del cajero.

Cada uno de los cajeros en los que checker está instalado dispone de una lista de control de acceso (ACL, Access Control List) que define exhaustivamente los procesos, recursos del sistema (archivos y librerías) y comunicaciones permitidos. Esta lista blanca (tecnología “White listing”) además de gestionar los procesos y recursos permitidos, permite verificar la integridad de los mismos de tal manera que no puedan ser alterados. Cualquier elemento que haya sido alterado o que no aparezca en esta lista quedará automáticamente bloqueado. El nivel de detalle de estas listas de control permite definir exactamente qué puede y qué no puede hacer el cajero.

La lista blanca define de una manera sencilla qué dispositivos se pueden utilizar en el cajero y qué procesos los pueden utilizar. Esto permite, por ejemplo, definir restricciones de acceso a un único proceso (la aplicación del cajero) a la dispensadora de billetes del cajero o deshabilitar por completo el acceso a discos USB (“pen-drives”) que se conecten al cajero.

Junto a la tecnología de lista blanca checker incorpora una serie de controles especialmente diseñados para cajeros. Uno de estos controles es la detección de escritura en disco de los datos de la pista 2 (Track 2) de las bandas magnéticas de las tarjetas de crédito de los usuarios. Esta pista contiene la información suficiente para replicar una tarjeta, por lo que es especialmente deseada por los atacantes y por tanto debe ser protegida de su extracción y copia. (PCI-DSS prohíbe su almacenamiento en cualquier dispositivo ajeno a la tarjeta).

checker se completa con un servidor central desde el que se gestiona y monitoriza la red de cajeros en los que se ha desplegado el cliente checker. La comunicación entre los cajeros y el servidor es cifrada extremo a extremo y permite realizar la gestión remota del entorno de seguridad del cajero, así como recibir en tiempo real cualquier tipo de evento de seguridad detectado en un cajero. Además de centralizar todos los eventos de seguridad detectados en la red por los agentes, el servidor checker procesa estos eventos y los redirige a otros sistemas de monitorización y gestión de red ya existentes en la entidad permitiendo integrar las alarmas de seguridad dentro de estos sistemas ya existentes.

Checker surgió de la necesidad de contar con una solución que fuera LIGERA, ya que muchas de las soluciones existentes en el mercado no están optimizadas para el mínimo uso de recursos que es lo que un cajero necesita. Además checker es COMPACTA, muchas soluciones del mercado se apoyan en diversos módulos, productos o componentes para alcanzar solo parte de la solución, en la mayoría de los casos no integrada, lo cual ocasiona más costes de operación y multiplica los puntos de fallo. Otra de las características de checker es que es gestionable, MANTENIBLE, las soluciones del mercado que dicen que funcionan de manera autónoma, sin gestión, dejan sin visibilidad a los responsables de operación a la hora de detectar un problema de seguridad y poder resolverlo. Otra de las características es la FIABILIDAD, checker ha sido especialmente diseñado para la protección de la seguridad de los ATMs, cumpliendo con los más altos niveles de calidad y fiabilidad.

Actualmente checker está funcionando en diversas entidades financieras tanto a nivel nacional como internacional, protegiendo más de 65.000 cajeros en todo el mundo, destacando clientes de primera línea, sobre todo en España y en América Latina, con especial presencia en México, Brasil, Chile y Colombia.

GMV