Si des malfaiteurs parviennent à convaincre un système informatique de créditer un compte bancaire pour un faux dépôt de billets, ils n’ont plus qu’à retirer de vrais billets — du même montant — dans la foulée pour obtenir un gain facile.
Voilà la manipulation relativement rare qui était permise par deux vulnérabilités similaires dans les logiciels de deux grands producteurs de distributeurs de billets, Diebold Nixdorf et NCR. Les failles ont été découvertes l’an dernier par des chercheurs de Carnegie Mellon, qui ont publié deux alertes séparées sur le sujet le 20 août 2020.
Des liasses de billets retirés aux distributeurs après un dépôt falsifié. // Source : publicdomainpictures.net
Concrètement, le piratage consiste à envoyer des commandes à un des logiciels chargés de reconnaître le dépôt physique de billets au distributeur. La tâche n’est pas simple, puisqu’il faut accéder aux ports de la machine, puis y connecter un autre appareil.
Les deux entreprises concernées par la faille ont déployé des mises à jours de leur firmware (une couche logicielle basse, en charge des interactions avec le matériel). Désormais, c’est aux banques d’effectuer les mises à jour.
Si simple et pourtant si compliqué à mettre en place
Plus précisément, c’était la communication entre le centre de contrôle du distributeur et le composant chargé de la distribution des billets qui s’avérait vulnérable. Les chercheurs expliquent que les distributeurs ne vérifiaient pas l’intégrité des messages qui circulent entre les deux composants. Et puisque ces communications n’étaient ni chiffrées ni protégées par une authentification, un pirate pouvait les remodeler sans déclencher l’alerte. « Les attaquants peuvent envoyer des commandes valides pour distribuer des billets », précisent les chercheurs. Diebold et NCR ont donc renforcé la sécurité de ces communications dans les nouvelles versions de leurs logiciels respectifs.
La falsification de dépôts de billet est une attaque connue, mais relativement peu répandue. Mais lorsqu’elle fonctionne, les malfaiteurs s’engagent dans une course contre la montre : ils doivent retirer les fonds inexistants discrètement, avant que les banques ne détectent le déséquilibre dans les soldes de leurs comptes. Ils tirent donc sur toutes les ficelles possibles pour décaler au plus tard l’alerte, par exemple en effectuant le retrait le week-end ou en allant au distributeur d’une autre banque qui devra communiquer avec là leur.
Reste que l’attaque est difficile à mettre en place, puisque les malfaiteurs doivent accéder aux ports du distributeur. Pour y parvenir, deux méthodes : la méthode douce, grâce à la clé de déverrouillage du châssis (obtenue par exemple, en soudoyant un employé), soit la méthode dure… à coup de perceuse.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Marre des réseaux sociaux ? Rejoignez-nous sur WhatsApp !
