دراسة تكشف النقاب عن التهديدات المرتقبة التي تستهدف أجهزة الصراف الآلي البيومترية

أجرى خبراء كاسبرسكي لاب دراسة بحثية حول كيفية قيام مجرمي الإنترنت باستغلال الثغرات الأمنية الكامنة في تكنولوجيات المصادقة الخاصة بأجهزة الصراف الآلي الجديدة المصممة من قبل البنوك. وفي حين تعتبر العديد من المؤسسات المالية بأن حلول البيومترية التي تحديد هوية الأفراد بناءا على سماتهم البيولوجية ستكون من إحدى الإضافات المهمة إلى الطرق الحالية المتبعة للتعريف والمصادقة، إن لم تكن البديل الكلي لها، يرى مجرمو الإنترنت في بيانات التعريف البيومترية فرصة جديدة للسطو على المعلومات المهمة والحساسة.
لاتزال أجهزة الصراف الآلي ولسنوات عديدة محط أنظار المحتالين الذين يسعون وراء السطو على بيانات بطاقات الائتمان. وقد بدأت جميع تلك الهجمات باستخدام أجهزة التجسس (Skimmer)، وهي أجهزة مصنّعة محلياً يتم زرعها في جهاز الصراف الآلي ولديها القدرة على سرقة المعلومات المخزنة على الشريط المغناطيسي للبطاقة وكذلك رمز التعريف الشخصي للبطاقة عن طريق الاستعانة بلوحة أرقام وهمية لجهاز الصراف الآلي تستخدم لإدخال رمز التعريف الشخصي أو بواسطة كاميرا الويب. ومع مرور الوقت، تطور تصميم هذه الأجهزة للتقليل من سبل اكتشافها وجعلها أقل وضوحاً.
وفي موازاة تطبيق تقنية بطاقات الدفع ذات الرقاقة الذكية ورموز التعريف الأكثر تعقيداً التي يُعدّ اختراقها أكثر صعوبة ولكن ليس مستحيلاً، تطورت تلك الأجهزة إلى ما يعرف ب (shimmers): وهي شبيهة بتلك الأجهزة إلى حد بعيد، ولكنها قادرة على جمع معلومات من الرقاقة الذكية المثبتة على البطاقة، الأمر الذي يوفر معلومات كافية لشن هجمات مرحلية متتابعة (relay attacks) على الإنترنت. وفي إطار التصدي لتلك الهجمات، تعمل الأطراف المعنية في قطاع الخدمات المصرفية على توفير حلول تعريفية جديدة، بعضها يعتمد على خاصية التحقق من معلومات التعريف البيومترية.
ووفقاً لنتائج تحقيق كاسبرسكي لاب في جرائم إنترنت السوق السوداء، هناك ما لا يقل عن اثني عشر تاجراً يبيعون أجهزة تجسس قادرة على سرقة بصمات الضحايا. ويقوم ما لا يقل عن ثلاثة تجار في السوق السوداء بالفعل بعمل أبحاث لابتكار أجهزة قادرة على جمع بيانات، بالطرق غير المشروعة، من الأنظمة المصممة للتعرف على الأشخاص عن طريق بصمة راحة الكف وبصمة قزحية العين.
وقد تم رصد الموجة الأولى من أجهزة التجسس القائمة على بيانات التعريف البيومترية في "اختبار ما قبل البيع" في سبتمبر 2015. وتشير الأدلة المجمّعة من قبل باحثي شركة كاسبرسكي لاب إلى أنه أثناء إجراء الاختبارات الأولية، اكتشف المطورون من القراصنة العديد من الأخطاء البرمجية. ومع ذلك، فإن المشكلة الرئيسية كانت في استخدام أنماط النظام العالمي للاتصالات النقالة لنقل بيانات التعريف البيومترية، حيث كانوا بطيئين جدا في نقل الكم الهائل من البيانات التي تم الاستيلاء عليها. نتيجة لذلك، من المتوقع أن يتم تصميم إصدارات جديدة من أجهزة التجسس (simmers) هذه، بحيث تستخدم تكنولوجيات أخرى أكثر سرعة لنقل البيانات.
وهناك أيضاً مؤشرات توحي بوجود مناقشات جارية في أوساط مجتمعات السوق السوداء فيما يتعلق بتطوير تطبيقات متنقلة قائمة على استخدام أقنعة على الوجه البشري. وبوجود مثل هذا التطبيق، سيتمكن المهاجمون من التقاط صورة الشخص المنشورة على قنوات التواصل الاجتماعية واستخدامها لتضليل نظام التعرف على الشخص من خلال الوجه.
وعلقت أولج كوتشيتوفا، الخبيرة الأمنية في كاسبرسكي لاب بالقول، "تكمن المشكلة في استخدام بيانات التعريف البيومترية في أنه، على عكس كلمات المرور أو رموز التعريف الشخصي الأخرى التي من الممكن تغييرها بسرعة وبسهولة في حال الاختراق الأمني، من غير الممكن تغيير بصمة يدك أو بصمة قزحية العين لديك. وبالتالي في حال تم اختراق بياناتك، فسيكون من غير الآمن استخدام وسيلة المصادقة تلك مرة أخرى. وهذا ما يجعل الحفاظ على أمن تلك البيانات ونقلها بطريقة آمنة أمراً في غاية الأهمية. ويتم أيضاً تسجيل بيانات التعريف البيومترية في جوازات السفر الحديثة - تعرف باسم جوازات السفر الإلكترونية - والتأشيرات. لذلك، في حال تمكن أي مهاجم من سرقة جواز السفر الإلكتروني لشخص ما، فإنه لا يستولي فقط على مستند التعريف الشخصي له وحسب، بل أيضاً على بيانات التعريف البيومترية الخاصة به. بمعنى آخر، سيتمكنون من سرقة هويته الشخصية."
إن استخدام الوسائل القادرة على اختراق البيانات المجمعة استناداً إلى بيانات التعريف البيومترية ليست وحدها التهديد المرتقب الذي يستهدف أجهزة الصراف الآلي، وفقاً لآراء باحثي شركة كاسبرسكي لاب.
سيواصل القراصنة شن هجمات قائمة على البرمجيات الخبيثة وهجمات تتمثل في تثبيت أجهزة حاسوب صغيرة مبرمجة وفق أغراض محددة (تعرف باسم Black Box) بالإضافة إلى شن هجمات على الشبكة للاستيلاء على المال من البنوك وعملائها.