Nel film “Killer per caso”, Ezio Greggio portava con sé un pannello che aveva la forma di un bancomat: lo posizionava davanti a quello reale, si nascondeva nel muro, e mentre i clienti inserivano le tessere, lui prelevava dal vero sportello il denaro, facendo la cresta, e restituendo i soldi rimanenti. Nel film la sua trovata durava pochi minuti, prima di essere scoperto ed inseguito da un culturista che sfiorava i due metri.

I metodi manuali

Nella realtà i ladri ed hacker hanno elaborato un’infinità di modi per rubare soldi dai Bancomat disseminati nel mondo. A leggerla sembra una leggenda metropolitana, ma è forse la tecnica più concreta, e per diversi anni più efficace, che sia esistita: basta recarsi ad uno sportello e prelevare con la propria carta una grande quantità di denaro. La cosa importante è che i soldi erogati siano molti, in modo da formare un consistente mazzetto non appena le banconote escono dalla fessura.

Al momento giusto bisogna agire come un prestigiatore: tenere saldamente la prima parte della cartamoneta con una mano, mentre con l’altra si spingono i biglietti rimanenti all’indietro. Il bancomat, facendo un po’ di rumore, ritira il denaro credendo che si sia inceppato qualcosa e annulla la transazione. Ma i soldi che ci sono rimasti fra le dita sono nostri.

Una tecnica che conosce anche una variante: ci vuole una forcina per i capelli ripiegata, su internet si trovano dei kit già pronti, che si inseriscono sempre nella zona dove vengono erogati i contanti. Si posiziona adeguatamente e si aspetta: il primo cliente che cerca di ritirare dei soldi, farà in modo che il denaro esca e si blocchi nella pinzetta, senza essere visto.

Per la vittima sembra che il Bancomat non funzioni, e quindi annulla tutto e se ne va. Ma in realtà i contanti sono rimasti nella forcina, pronti per essere recuperati dal ladro, qualche tempo dopo.

Si tratta di metodi che hanno funzionato per molto tempo e che possono ottenere ancora successo in qualche caso fortunato (dal punto di vista del ladro ovviamente): ma internet riserva ancora delle sorprese. Senza dover raggiungere impensabili e impenetrabili siti, si trovano facilmente anche su Ebay degli annunci che mettono in vendita le chiavette necessarie ad aprire lo sportello che contiene il denaro. E’ necessario scartare fra le false promesse e i veri “esperti” dello scassinamento, ma in questo modo è possibile reperire sia le chiavi specifiche per la marca dello sportello, sia le cosiddette chiavi universali, che funzionano nella stragrande maggioranza dei casi.

L’arma principe, lo skimming

Ma se finora ci siamo quasi divertiti con metodi artigianali, la tecnica dello skimming costituisce invece un vero pericolo per le banche e stavolta anche per i conti dei clienti. Lo skimming si basa sull’inserimento di un dispositivo che si sovrappone alla fessura dove viene inserita la carta di credito o di debito, in grado di registrare il numero, l’intestatario, la scadenza e il codice a tre cifre di sicurezza: insomma, tutto il necessario per poterla utilizzare.

A questo si aggiunge una piccola telecamera, che viene posizionata solitamente o al di sopra del tastierino numerico, per non essere vista a meno che non si faccia un controllo apposito, o al contrario sui bordi, in bella posizione e sotto forma (paradossalmente) di un dispositivo di sicurezza: il risultato è una ripresa dei PIN che vengono digitati, l’ultimo dato mancante per creare tessere clonate.

Alcuni dei video realizzati da skimmer, sono finiti in rete. Quello che vi proponiamo è forse il più completo, e soprattutto fa capire come a volte non basti nemmeno la mano per coprire efficacemente il tastierino numerico. I clienti qui ripresi sono prevalentemente europei:

Di solito i dispositivi vengono installati al mattino presto, quando gli impiegati bancari non sono ancora arrivati alla filiale, e tolti verso le tre del pomeriggio, quando le banche stanno per chiudere e vi è la possibilità di controlli. Poi vengono riposizionati nel tardo pomeriggio, a banca chiusa, e fino a mezzanotte circa.

I primi trucchi hacker

Se finora le tecniche qui usate appartengono alla categoria degli smanettoni e dei ladruncoli, le tecniche seguenti sono invece appannaggio di veri e propri hacker. Un metodo antico consisteva nell’attacco tramite il war dialing: il meccanismo si basava sul fatto che i bancomat fino a qualche tempo fa, erano connessi ad internet tramite la linea telefonica convenzionale. Questo permetteva agli hacker di eseguire telefonate in serie, fino ad individuare il numero collegato con un Bancomat. Si tratta di una tecnica che funzionava prevalentemente negli Stati Uniti, dove i numeri telefonici riflettono le zone geografiche cui sono collegati mentre in Italia il metodo ha meno presa.

Ben più efficace è invece lo sfruttamento della capacità touchscreen che hanno i Bancomat più evoluti. Non tutti sanno che in casi meno rari di quello che si pensi, se si ritira del denaro e si ha la prontezza di toccare con il dito lo schermo poco prima che venga terminata la transazione, si riesce ad accedere al desktop del Bancomat.

In questo modo si può arrivare ai comandi dello sportello come fosse un normale computer: basta raggiungere il pannello di controllo, nella stragrande maggioranza dei casi quello di Windows XP, alla ricerca delle librerie .dll, documenti che contengono istruzioni e dati.

Navigando fra questi file, è possibile ad esempio far credere al Bancomat di essere rifornito di biglietti da 5 euro anziché 20. Una volta completato il comando, basta ritirare con la propria tessera una qualsiasi cifra, ad esempio 250 euro: la macchina, che crede di avere pezzi da 5, ne eroga 50 per arrivare alla somma, ma essendo in realtà moneta da 20, ecco che spuntano fuori 1000 euro totali.

Chi compie queste azioni, è in un certo senso considerato un benefattore: non si troverà mai l’hacker di New York che eseguì questa operazione su diversi sportelli, che erogarono per ben 9 giorni un quantitativo decisamente superiore di denaro rispetto a quello dovuto, cosa che portò decine di clienti a invadere i bancomat, fino all’intervento degli sportellisti, insospettiti dal fatto che le banconote finivano con insolita rapidità.

Ploutus. La nuova frontiera del pericolo

Ma la frontiera più concreta e pericolosa ha un nome insolito: Ploutus, il Dio della ricchezza. Stiamo parlando di un virus, identificato da Symantec il 4 settembre del 2013 in Messico, che dopo una rapida diffusione nel paese del centro america, è stato tradotto in inglese per un uso internazionale.

Tutto comincia con l’inserimento da parte del ladro di una chiavetta USB o un CD nell’apposito lettore del Bancomat: il virus si installa con grande rapidità e infetta il sistema senza scatenare allarmi o sospetti. Così l’hacker inizia a digitare un semplice comando di 16 cifre in grado di attaccare ancora una volta il sistema operativo Windows XP e che si appoggia ad un raw socket, un metodo di veicolare i comandi che non utilizzando i normali protocolli rimane perlopiù invisibile. Il bancomat risponde all’input, mostrando il contenuto specifico delle singole cassette di denaro, e quando l’hacker ripete le stesse 16 cifre con un 31 finale, può disporre l’immediato rilascio dei soldi. Il prelievo non ha limiti, anzi il virus comporta lo svuotamento completo, e l’unica urgenza sono le 24 ore, dopo le quali l’infezione deve essere ripetuta.

In alternativa, è possibile collegare allo sportello uno smartphone tramite l’USB e attivare una connessione internet: in questo caso si manda un primo SMS per conoscere i dettagli del sistema operativo, e tramite un secondo messaggio si dispone il comando di rilascio del denaro a distanza. Ploutus è un vero pericolo, che sta coinvolgendo i Bancomat di tutto il mondo e gli amministratori delle infrastrutture bancarie hanno dovuto correre ai ripari con aggiornamenti dei propri antivirus e sistemi di sicurezza.

Le difese

Una miriade di metodi, dai trucchetti agli attacchi su vasta scala, prendono di mira i Bancomat, che però hanno dentro di loro delle misure di sicurezza inaspettate. Giuseppe Galati, il Direttore delle infrastrutture, telecomunicazioni e sicurezza di CheBanca!, ha spiegato ad Alground che le contromisure sono diverse: “La prima è la bocca di leone, un attrezzo che serve a rendere estremamente difficile l’inserimento di qualsiasi oggetto nelle fessure dell’ATM, passando poi per l’antiskimming, un disturbatore di frequenza che mira ad evitare che i dati delle carte di credito inserite possano essere registrati o trasmessi a qualcuno”.

E per quelli che cercano di estrarre l’intero sportello con un’azione di muratura ci sono “sensori di ceramica, che se si rompono fanno partire un allarme, a cui si aggiungono misuratori del gas, che servono ad avviare in tempo i soccorsi qualora ci sia il tentativo di far esplodere qualsiasi cosa nelle vicinanze dell’apparecchio”.

Le banche eseguono anche dei controlli a livello di gestione delle carte: “Sui trasferimenti di carte e di denaro – continua Galati – vengono eseguiti controlli incrociati: se ci accorgiamo di movimenti improvvisi di denaro, con quantità importanti, o con delle modalità che possono far presumere che non sia il proprietario ad agire, ci accertiamo di cosa sta succedendo con il correntista”.

Ma il punto è che anche i clienti possono, anzi devono, fare qualcosa: “Quando ci avviciniamo ad un Bancomat, – riprende Galati – iniziamo a guardarlo da lontano. Cerchiamo di notare se qualcosa non va, se il blocchetto da cui viene erogato il denaro è consumato o ha dei graffi, o se il lettore delle carte è storto. E poi stiamo attenti ai colori, perché le vernici e le tinte che adornano un Bancomat non sono certo casuali: se notiamo qualcosa che non è armonico, che sembra appoggiato in modo diseguale, cambiamo sportello”. E ancora: “Qualsiasi banca permette di attivare un servizio che avvisa via SMS di prelievi sul proprio conto. Prendiamo l’abitudine di attivare questa opzione, di prelevare il denaro e di aspettarci la conferma sul cellulare: se non avviene, un bella telefonata in banca è meglio farla”.

Il futuro post Windows XP

La protezione degli sportelli che erogano il denaro ha conosciuto un momento di vera popolarità in occasione della fine del supporto al sistema Windows XP, avvenuto nell’aprile del 2014, che si è temuto avrebbe aumentato di molto il livello di vulnerabilità dei Bancomat. “In realtà queste sono chiacchiere da bar, – riprende Galati – ma parlando seriamente, Windows XP è un sistema molto stabile e soprattutto ha una lunghissima storia di correzioni e aggiornamenti che lo hanno reso forte, assieme ad altre soluzioni di sicurezza che integrano il tutto. I Bancomat sono più sicuri con XP che con altri sistemi, e l’aggiornamento sarà un momento critico”.

Sì, ma ora che saranno obbligate a cambiare, cosa faranno le banche? “Aggiorneremo a Windows 7 – risponde Galati – ma con dispiacere, perché non avrà quella solida struttura e compatibilità di XP. Sarebbe stato bello rifarsi anche al mondo open source per trovare una soluzione alternativa, ma da un lato il consorzio non ha preso in considerazione l’idea, dall’altro non abbiamo trovato dei prodotti a codice libero da valutare”.

Ma gli ATM si stanno evolvendo, e dovranno farlo per forza: è nella natura dell’informatica. Per immaginare lo sportello del futuro, dobbiamo andare oltreoceano, negli Stati Uniti, dove la Diebold sta proponendo degli ATM composti sostanzialmente da una torretta che sostiene una specie di tablet, con interfaccia touchscreen e integrato con diverse funzioni.

Nello scenario immaginato dalla Diebold, l’utente si avvicinerà all’ATM con il suo smartphone e inquadrerà con la fotocamera un QR Code, un codice composto da quadrati e segni scuri da noi incomprensibili ma interpretabili dai dispositivi digitali, che gli permetterà di essere riconosciuto ed autenticato dai server della banca come correntista. Diversi i metodi di utilizzo: immaginando un prelievo di contante, si abbandonano le carte e tutti i rischi collegati, per appoggiarsi all’invio da parte dei computer della banca di un PIN, un codice numerico valido per pochi minuti, direttamente sullo smartphone dell’utente, che dovrà essere digitato sullo schermo prima di procedere al ritiro dei soldi.

Volendo eseguire un pagamento invece, si potrà scegliere un contatto all’interno della propria rubrica telefonica, e stabilire la cifra da erogare al nostro beneficiario: di nuovo, i servizi cloud degli istituti di credito provvederanno a spedire un avviso e un codice a sei cifre al destinatario, che potrà recarsi al Bancomat più vicino e ritirare il denaro.

Un radicale cambiamento nell’idea e nell’uso dei Bancomat che tuttavia è ancora in fase sperimentale: la più grande sfida per questo tipo di soluzioni sarà la riuscita di una buona collaborazione e supporto con la tripletta Europay-Mastercard-VISA, che devono garantire la loro partnership, ma una linea è tracciata con sicurezza: “Niente più carte – conclude Galati – questo è certo. Gli ATM si stanno evolvendo verso l’abbandono di questi strumenti, per approdare a riconoscimenti biometrici (come quelli basati sulle impronte digitali ndr). Certo, ognuno di noi potrà essere minacciato con la pistola, nessuno lo può evitare, ma eccetto casi limite, i sistemi che stiamo approntando garantiranno un riconoscimento dell’identità decisamente più avanzato”.