"Agárralo y muévelo": el robo de tarjetas de cajero automático sigue siendo una cosa

"Agárralo y muévelo": el robo de tarjetas de cajero automático sigue siendo una cosa

Marca de tiempo: 14 de agosto de 2023 7:18 p.m.
by Paul patito

Ha pasado un tiempo desde que escribimos sobre los skimmers de tarjetas, que solían jugar un papel importante en el ciberdelito mundial.

En estos días, muchas, si no la mayoría, de las historias de infracciones cibernéticas y delitos cibernéticos giran en torno al ransomware, la web oscura y la nube, o alguna combinación profana de los tres.

En los ataques de ransomware, los delincuentes en realidad no necesitan acercarse a la escena del crimen en persona, y sus pagos se extraen en línea, generalmente utilizando tecnologías pseudoanónimas como la web oscura y las criptomonedas.

Y en algunos delitos cibernéticos basados ​​en la nube, en particular los que generalmente se conocen como ataques a la cadena de suministro, los delincuentes ni siquiera necesitan acceder a su red.

Si pueden encontrar a un tercero al que carga regularmente datos valiosos, o del que descarga software confiable de manera rutinaria, entonces pueden ir tras ese tercero y causar el daño allí.

En ataques recientes de extorsión cibernética, docenas de marcas importantes han sido chantajeadas por el robo de datos de empleados y clientes, a pesar de que esos datos fueron robados indirectamente.

En MOVEit ataca, por ejemplo, los datos fueron robados de proveedores de servicios, como empresas de procesamiento de nóminas, que habían utilizado un software de transferencia de archivos defectuoso para aceptar cargas supuestamente seguras de sus propios clientes.

Sin el conocimiento de las empresas que finalmente fueron chantajeadas y de los servicios de procesamiento de nómina que utilizaron, el software de transferencia de archivos MOVEIt también permitió a los delincuentes realizar descargas no autorizadas de datos almacenados.

Ciberdelincuencia en su cara

El robo de tarjetas de crédito, por el contrario, es un delito mucho más directo, tanto para sus perpetradores como para sus víctimas.

Los skimmers de tarjetas tienen como objetivo extraer la información privada que es crítica para su tarjeta bancaria, en el mismo momento en que la usa.

Notoriamente, los skimmers de tarjetas no solo buscan los datos almacenados en la propia tarjeta, sino también el PIN que sirve como su segundo factor de autenticación.

Ya sea que su tarjeta tenga una banda magnética fácil de clonar, o un chip seguro que no se pueda clonar, o ambos, su PIN nunca se almacena en la tarjeta real.

Por lo tanto, los delincuentes que roban normalmente usan cámaras ocultas en miniatura para espiar su PIN en vivo mientras lo ingresa.

Irónicamente, tal vez, los cajeros automáticos de los bancos, más conocidos como cajeros automáticos, son un lugar perfecto para los equipos de robo de tarjetas.

Los cajeros automáticos casi siempre agarran su tarjeta mecánicamente y la retiran directamente a la máquina, fuera de la vista y del alcance.

(Aparentemente, eso se debe a dos razones principales: en primer lugar, porque ese proceso tiende a cortar los cables maliciosos soldados a la tarjeta que podrían conectarla al mundo exterior mientras está en uso, y en segundo lugar, porque permite que el banco confisque la tarjeta si piensa que podría haber sido robado.)

En otras palabras, agregar un lector de banda magnética falso a un cajero automático generalmente es más efectivo que hacer lo mismo en cualquier terminal de pago con chip o PIN, donde la banda magnética completa nunca pasa por el lector o sobre él.

Además, los cajeros automáticos siempre solicitan su PIN y, a menudo, tienen muchas funciones convenientes en la superficie donde se puede ocultar una pequeña cámara a plena vista.

Cuando las precauciones de seguridad tienen el efecto contrario

En otra ironía, los vestíbulos de los bancos bien iluminados que tienen como objetivo proporcionar un entorno tranquilizador a veces son un mejor lugar para los lectores de tarjetas que los cajeros automáticos con poca luz en las calles laterales.

En un caso que recordamos, el vestíbulo del cajero automático en un edificio del centro que atendía a varios bancos había sido equipado con una puerta de "seguridad" fuera del horario de atención para que los clientes se sintieran más seguros.

La puerta estaba destinada a evitar que cualquiera pasara la noche entre los cajeros automáticos, porque los posibles usuarios de cajeros automáticos tenían que pasar una tarjeta bancaria de algún tipo en la entrada para obtener acceso inicial.

Sin embargo, en lugar de mejorar la seguridad, esto empeoró las cosas, porque los ladrones simplemente instalaron un lector de tarjetas oculto en la puerta, extrayendo así los datos de las tarjetas de todos los bancos antes de que los clientes llegaran a los cajeros automáticos.

Además, los delincuentes pudieron usar una cámara oculta en el vestíbulo, en lugar de pegarla en un cajero automático específico, para vigilar los PIN de los usuarios.

Al igual que los ataques MOVEit mencionados anteriormente, en los que a las empresas les robaron sus datos de trofeos sin acceder a sus propias computadoras, estos delincuentes recuperaron datos de tarjetas de cajero automático y PIN coincidentes para varios bancos diferentes sin tocar físicamente un solo cajero automático.

En otro caso que conocemos, los delincuentes filmaron en secreto los PIN en un cajero automático en las propias instalaciones de un banco colocando su cámara de vigilancia no en el propio cajero automático, que el personal estaba capacitado para revisar con regularidad, sino en la parte inferior de un portafolletos corporativos en el pared junto al cajero automático.

Al parecer, el personal ayudó inadvertidamente a los delincuentes al volver a llenar diligentemente el portafolletos cada vez que se quedaba sin material de marketing, proporcionando una cobertura literal para el compartimento oculto en la parte inferior donde estaba escondido el hardware de la cámara espía.

Skimmers todavía en el negocio

Bueno, el robo de cajeros automáticos sigue siendo un delito cibernético en progreso, como reportado durante el fin de semana por la policía de Brisbane en Queensland, Australia, donde tres hombres fueron arrestados recientemente por una serie de delitos relacionados con el robo de información.

El busto parece haber bajado algo como esto:

  • 2023-07-31: Dispositivos skimming encontrados en un paquete postal interceptado. Parece que el paquete estaba dirigido a una persona inexistente, presumiblemente dando a los residentes en la dirección de entrega una negación plausible si fueron allanados cuando llegó el paquete.
  • 2023-08-02: cajero automático comprometido informado a la policía por un banco local. Como se mencionó anteriormente, las instituciones financieras revisan regularmente sus cajeros automáticos en busca de signos de manipulación o piezas adheridas. Los dispositivos de desnatado generalmente se fabrican a pedido, normalmente se moldean en 3D de plástico para que se ajusten perfectamente a modelos específicos de cajero automático y se adornan con cualquier palabra, símbolo o marca necesaria para que coincida con el cajero automático al que se van a conectar.
  • 2023-08-03: Los detectives de delitos cibernéticos de guardia notaron que dos hombres se acercaban al cajero automático comprometido. Suponemos que el banco puso fuera de servicio deliberadamente el cajero automático comprometido, por lo que no solo evita que los clientes sean desnatados activamente, sino que también sugiere a los ladrones que si querían recuperar el desnatador, deberían actuar rápidamente antes de que se visitara el cajero automático. para "reparación" y el dispositivo encontrado y confiscado.

Después de una breve pero rápida persecución a pie por el popular Queen Street Mall de Brisbane, los sospechosos que huían fueron detenidos y arrestados.

Con una orden de allanamiento ahora en la mano para la dirección de entrega en el paquete interceptado, los policías hicieron una visita y alegan que encontraron “dos cámaras estenopeicas y varios elementos de identificación fraudulentos, incluidas tarjetas bancarias e imágenes de una licencia y un pasaporte”.

Las cámaras, dice la policía, estaban escondidas dentro de piezas de cajeros automáticos con marcas bancarias.

Además, según la policía, una de las identificaciones falsas recuperadas en la redada coincidió con el nombre del paquete interceptado que contenía dispositivos de robo.

Fue entonces cuando arrestaron al tercer sospechoso.

¿Qué hacer?

Para tener una idea de lo que hay que tener en cuenta en los cajeros automáticos sospechosos, ¿por qué no ver secuencias de vídeo seleccionadas de la redada? publicado por la policía de Queensland?

Los componentes del hardware de desnatado aparecen al final, después de algunas imágenes de la cámara corporal de los sospechosos siendo revisados ​​y atrapados en la persecución, con el sonido de las esposas cerrándose:

La policía no colocó ningún objeto conocido con los paneles raspadores para tener una idea de la escala, pero suponemos que los paneles de plástico azul que verá, dentro de uno de los cuales está oculto lo que parece un incrustado estándar. placa base de sistema en chip, están diseñados para colocarse junto a la ranura en la que inserta su tarjeta de cajero automático.

Suponemos que el azul de dos tonos coincide con el esquema de color del banco, con la flecha amarilla apuntando a la ranura de la tarjeta.

Como se mencionó anteriormente, los dispositivos de desnatado a menudo se fabrican a pedido para que coincidan con la marca actual del banco y los cajeros automáticos a los que se dirigen los delincuentes, lo que los hace más difíciles de detectar que algunos de los paneles genéricos de color beige que hemos visto. en el pasado, como este de un Busto de la policía de Queensland de vuelta en 2012:

“Sujétalo y muévelo”: el robo de tarjetas de cajero automático sigue siendo una cosa de PlatoBlockchain Data Intelligence. Búsqueda vertical. Ai.
La flecha roja apunta a la mirilla en el marco de la ranura falsa.

O el consejo es:

  • No dude en inspeccionar de cerca el hardware del cajero automático y su entorno. Acerque los ojos a la superficie si no está seguro de si alguna parte en particular realmente pertenece.
  • Cubra siempre el teclado completamente cuando ingrese su PIN. Haz esto incluso cuando estés dentro de un banco y aparentemente no haya nadie más alrededor.
  • Agárralo y muévelo si no estás seguro. Esté atento a las piezas que no encajan bien, que no coinciden con el diseño original o que aparentemente no forman parte de la construcción del cajero automático original.
  • Si ve algo, diga algo. No ingrese su PIN. Recupere su tarjeta, camine en silencio y comuníquese con la policía local o llame al banco correspondiente. Utiliza un número de tu tarjeta o de un extracto anterior, o en el peor de los casos un número de contacto que aparece en la propia pantalla del cajero automático. No llame a ningún número adjunto o que se muestre al lado del cajero automático, porque los ladrones podrían haberlos puesto allí ellos mismos.

Como siempre, mira antes de saltar...

Sello de tiempo:

Mas de Seguridad desnuda