كيف سقطت ماكينات الصراف الآلي ضحية للقراصنة؟

تتعرض جميع الصرافات الآلية في العالم لجملة من التهديدات الأمنية تشمل الاستخدام غير المشروع أو الاختراق بمساعدة برمجيات خبيثة، فيما تبذل البنوك جهودا كبيرة لحماية صرافتها.
وخلصت بحوث أجراها خبراء كاسبيرسكي لاب إلى أن سهولة اختراق بعض الصرافات الآلية تعود إلى الاستخدام الواسع النطاق للبرامج التي عفا عليها الزمن، وكذلك إلى الأخطاء في تعريف الشبكة وانعدام الحماية الأمنية الضرورية للأجزاء الحيوية من أجهزة الصراف الآلي.
وتمثل التهديد الأكبر خلال سنوات عدة بالنسبة للعملاء ومالكي أجهزة الصراف الآلي في وسائل التجسس المعروفة باسم "Skimmers" وهي أجهزة خاصة يتم لصقها على أجهزة الصراف الآلي لسرقة بيانات الشريط المغناطيسي للبطاقات المصرفية.
إلا أنه ومع تطور أساليب وتقنيات البرمجيات الخبيثة، أصبحت أجهزة الصراف الآلي عرضة لمزيد من المخاطر، ففي العام 2014، كشف باحثو كاسبيرسكي لاب عن عصابة "Tyupkin" تستخدم برمجيات خبيثة استهدفت أجهزة الصراف الآلي المعروفة والمنتشرة على نطاق واسع.
وفي العام 2015، كشف خبراء الشركة عن عصابة "Carbanak"، كانت قادرة على شن هجمات قرصنة على أجهزة الصراف الآلي عن طريق استغلال ثغرات أمنية في البنية التحتية المصرفية.
ونجحت العصابتان في شن هجماتها مستغلتين العديد من الثغرات الأمنية المشتركة في تكنولوجيا أجهزة الصراف الآلي وفي البنية التحتية التي تدعمها.
وفي محاولة لحصر كافة القضايا الأمنية ذات الصلة بأجهزة الصراف الآلي، قام متخصصو اختبارات الاختراق في كاسبرسكي لاب بدراسة هجمات فعلية، ووقفوا على نتائج تقييم الإجراءات الأمنية لأجهزة الصراف الآلي في عدد من البنوك الدولية.
وتوصلوا بعد جملة من الدراسات إلى نتائج أثبتت أن هجمات البرمجيات الخبيثة المستهدفة لأجهزة الصراف الآلي ممكنة نتيجة لعوامل أمنية عديدة، أولها هو أن جميع أجهزة الصراف الآلي وأجهزة الكمبيوتر تعمل بواسطة أنظمة تشغيل ذات إصدارات قديمة جدا مثل "Windows XP"، ما يجعلها عرضة للإصابة بالبرمجيات الخبيثة المستهدفة لأجهزة الكمبيوتر الثابت، وهدفا للهجمات عبر الثغرات الأمنية غير المكتشفة.
فبعد أن تتمكن البرمجية الخبيثة من التغلغل في أجهزة الصراف الآلي بنجاح، سرعان ما تكتسب قدرات لا محدودة من حيث التحكم بجهاز الصراف الآلي، منها جعل لوحة إدخال رمز التعريف الشخصي (PIN) وقارئ البطاقة، وسيلة تجسس "Skimmer"، أو سحب كل الأموال الموجودة في أجهزة الصراف الآلي فور تلقي الأمر من القراصنة.
أولغا كوتشيتوفا الخبيرة الأمنية في قسم اختبار الاختراق لدى كاسبرسكي لاب، وفي تعليق بهذا الصدد قالت: "تؤكد أبحاثنا أنه على الرغم من الجهود التي يبذلها الموردون حاليا لتطوير أجهزة صراف آلي مدعومة بمزايا أمان قوية، نجد أن هناك العديد من البنوك التي لا تزال تستخدم نماذج قديمة وغير آمنة بالقدر الكافي، وهذا ما يجعلها غير مستعدة بالكامل لصد هجمات القراصنة الناشطين في مجال تحدي كافة احتياطات الأمان المثبتة على هذه الأجهزة".
وعلى الرغم من أن القضايا الأمنية المذكورة أعلاه تحمل على الأرجح آثارا خطيرة على الكثير من أجهزة الصراف الآلي في جميع أنحاء العالم، فإن هذا لا يعني أنه يتعذر إيجاد حلول لمثل هذه الحالات.
هذا، وبوسع مصنعي أجهزة الصراف الآلي الحد من مخاطر الهجمات المستهدفة لأجهزة الصراف عن طريق تطبيق جملة من الإجراءات في مقدمتها إعادة النظر في معيار XFS مع التركيز على السلامة، وإدخال اثنين من عوامل التفويض بين الأجهزة والبرامج النظامية.
ويساعد ذلك في التقليل من مخاطر سحب الأموال باستخدام برمجيات Trojan الخبيثة ويحول دون تمكين القراصنة من التحكم بوحدات أجهزة الصراف الآلي، كما من الضروري تطبيق مطلب "authenticated dispensing" وذلك بهدف استبعاد احتمال وقوع هجمات عن طريق مراكز المعالجة الوهمية.
وأخيرا، فلا بد كذلك من تطبيق معايير حماية التشفير والتحكم بسلامة البيانات المرسلة بين جميع الوحدات وأجهزة الحاسوب المثبتة داخل جهاز الصراف آلي.