Nhà nghiên cứu bảo mật hack dễ dàng máy ATM bằng ứng dụng Android và giao thức thanh toán NFC

Một hacker đã chứng minh bạn có thể hack máy rút tiền hay bất kỳ hệ thống điểm bán hàng (point-of-sale , POS) chỉ bằng cách lướt nhanh điện thoại qua đầu đọc thẻ không chạm NFC.

Có lẽ ai cũng đã từng ước mơ trở thành hacker để có thể rút tiền từ ATM thoải mái mà không lo về số dư tài khoản. Nhiều người đã tìm đủ mọi cách để lợi dụng các lỗ hổng trên ATM bằng cách can thiệp phần cứng. Giờ đây, một chuyên gia an ninh đã chứng minh bạn có thể hack máy rút tiền hay bất kỳ hệ thống điểm bán hàng (point-of-sale, POS) chỉ bằng cách lướt nhanh điện thoại qua đầu đọc thẻ không chạm NFC - giao thức thanh toán c

Nhà nghiên cứu bảo mật hack dễ dàng máy ATM bằng ứng dụng Android và giao thức thanh toán NFC - Ảnh 1.

Bạn có thể hack máy rút tiền hay bất kỳ hệ thống điểm bán hàng (point-of-sale, POS) chỉ bằng cách lướt nhanh điện thoại qua đầu đọc thẻ không chạm NFC.

Theo Wired đưa tin, Joseph Rodriguez, một chuyên gia tư vấn về an ninh số tại công ty IOActive đã tìm ra cách lợi dụng lỗ hổng trong hệ thống NFC của các máy ATM và hệ thống POS được ứng dụng trong khắp các cửa hàng, siêu thị, nhà hàng… Anh đã sử dụng một ứng dụng Android được lập trình để gài các đoạn mã gây ra đủ thứ lỗi vào các chip xử lý trên đầu đọc NFC của các thiết bị trên. Sau khi gặp lỗi, anh có thể thu thập dữ liệu thẻ tín dụng, thay đổi giá trị giao dịch, thậm chí trúng mánh lớn bằng cách khiến các máy ATM “phun” ra tiền tùy ý. Tuy nhiên, với máy ATM thì anh còn phải thao túng các lỗ hổng có sẵn trong phần mềm máy ATM.

“Bạn có thể thay đổi firmware và thay đổi giá sản phẩm có giá 50 USD xuống còn 1 USD, trong khi màn hình vẫn hiện là bạn đã trả 50 USD. Bạn còn có thể vô hiệu hóa thiết bị hay cài đặt các phần mềm độc hại cho phép khóa cứng thiết bị cho tới khi nạn nhân trả tiền chuộc. Có rất nhiều cách để chuộc lợi từ đây. Nếu bạn tấn công liên tục và tải lên một đoạn mã đặt biệt tới máy tính trong ATM, bạn có thể rút tiền thoải mái, chỉ cần ấn vài nút trên điện thoại”, Rodriguez cho biết.

Nhà nghiên cứu bảo mật hack dễ dàng máy ATM bằng ứng dụng Android và giao thức thanh toán NFC - Ảnh 2.

Nếu bạn tấn công liên tục và tải lên một đoạn mã đặt biệt tới máy tính trong ATM, bạn có thể rút tiền thoải mái, chỉ cần ấn vài nút trên điện thoại.

 

Rodriguez bắt đầu nghiên cứu về khả năng hack đầu đọc thẻ NFC trên máy ATM bằng cách thử nghiệm trước trên các đầu đọc thẻ NFC và thiết bị POS mua trên mạng. Anh sớm nhận ra rằng hầu hết các thiết bị này không xác thực kích thước gói dữ liệu được truyền đi qua NFC từ thẻ tín dụng tới đầu đọc. Bằng một ứng dụng Android đã được tùy chỉnh, anh có thể gửi một gói dữ liệu lớn hơn hàng trăm lần dung lượng mà đầu đọc thẻ nghĩ là mình đang nhận, gây ra lỗi tràn bộ nhớ - một lỗi phần mềm “xưa như trái đất”, cho phép hacker gây lỗi bộ nhớ thiết bị và cho phép chạy một đoạn mã tùy ý.

Rodriguez đã thông báo tới các hãng sản xuất thiết bị về lỗ hổng bảo mật này một năm về trước, nhưng anh cho biết lượng thiết bị cần được cập nhật phần cứng nhiều đến mức sẽ cần rất nhiều thời gian để khắc phục hoàn toàn lỗ hổng này. Sự thực là nhiều thiết bị POS còn không được cập nhật phần mềm thường xuyên, khiến cho rủi ro này nghiêm trọng hơn bao giờ hết.

Nhà nghiên cứu bảo mật hack dễ dàng máy ATM bằng ứng dụng Android và giao thức thanh toán NFC - Ảnh 3.

Sự thực là nhiều thiết bị POS còn không được cập nhật phần mềm thường xuyên, khiến cho rủi ro này nghiêm trọng hơn bao giờ hết.

Joseph đã giữ kín các phát hiện của mình trong suốt một năm, đến giờ mới chia sẻ các thông tin kỹ thuật công khai nhằm thúc đẩy các nhà sản xuất thiết bị nhanh chóng vá lỗi.

(Theo Pháp luật & Bạn đọc, Android Authority)

Cảnh báo nguy cơ thẻ ATM bị đánh cắp dữ liệu

Cảnh báo nguy cơ thẻ ATM bị đánh cắp dữ liệu

ictnews Ngày 27/4, VietinBank đưa ra cảnh báo về nguy cơ đối tượng xấu thực hiện skimming (đánh cắp dữ liệu, làm thẻ giả và rút tiền trái phép) tại hệ thống ATM các ngân hàng.

Chủ đề : hackATM
 
List comment
 
Tải game lậu, nhiều người không biết PC của mình bị thành máy đào coin
icon

Mã độc đào tiền ảo Crackonosh đang được phát tán thông qua phiên bản crack nhiều tựa game nổi tiếng.

 
Ứng cứu, xử lý sự cố tấn công mạng vào báo điện tử trong tối đa 33 giờ
icon

Theo quy trình ứng cứu, xử lý sự cố tấn công mạng vừa được Cục An toàn thông tin, Bộ TT&TT gửi tới các cơ quan báo chí, tổng thời gian từ lúc phát hiện sự cố đến lúc hoàn thành ứng cứu ban đầu tối đa là 33 giờ.

 
Phương pháp hiệu quả giúp doanh nghiệp xua “bóng ma tin tặc” bên trong máy móc
icon

Nhấn mạnh giờ đang là thời điểm để củng cố các hệ thống điều khiển công nghiệp, chuyên gia Keysight Technologies khuyến nghị các doanh nghiệp triển khai “Mô phỏng vi phạm và tấn công” - phương pháp giúp hệ thống an toàn bảo mật với chi phí phù hợp.

 
Lỗ hổng bảo mật trên Windows có thể bị lợi dụng để tấn công APT diện rộng
icon

Theo dự báo sớm của Trung tâm NCSC, lỗ hổng CVE-2021-1675 trên hệ điều hành Windows có thể bị tận dụng để tiến hành các chiến dịch tấn công có chủ đích APT lớn trên quy mô rộng trong thời gian ngắn sắp tới vào không gian mạng Việt Nam.

 
Việt Nam cùng 10 nước diễn tập ứng cứu sự cố tấn công ransomware vào tổ chức y tế
icon

Chương trình diễn tập ASEAN – Nhật Bản năm 2021 tập trung vào tình huống phối hợp ứng cứu tấn công mạng vào cơ quan nhà nước qua khai thác lỗ hổng VPN và phòng chống tấn công mã độc tống tiền (ransomware) vào tổ chức y tế.

 
 
Trang web từ nước ngoài giả mạo Báo CAND để lừa đảo
icon

Các đối tượng tội phạm mạng đã tạo ra một trang web giả mạo Báo CAND nhằm đánh cắp thông tin cá nhân quan trọng của người dùng như tài khoản ngân hàng… hoặc sử dụng vào các mục đích phạm tội khác.

Tin tặc đang nhắm đến ‘kho báu’ của các nhà phát hành game
icon

Tội phạm mạng đã tấn công ít nhất ba nhà phát hành game lớn trong năm qua để lấy đi mã nguồn, được ví như kho báu với giá trị không thể đong đếm bằng tiền.

Chuyên gia Nhật chia sẻ kinh nghiệm ứng cứu, xử lý sự cố tấn công mạng
icon

Khóa đào tạo nâng cao năng lực ứng cứu sự cố tấn công mạng dành cho thành viên Mạng lưới ứng cứu sự cố quốc gia vừa được tổ chức trực tuyến, với giảng viên là các chuyên gia của Cơ quan ứng cứu sự cố Nhật Bản.

Mỹ và châu Âu xử phạt các vụ tấn công từ chối dịch vụ mạng như thế nào?
icon

Ở Mỹ, tấn công từ chối dịch vụ được coi là một tội liên bang. Nếu thực hiện các tấn công từ chối dịch vụ, thủ phạm có thể phải chấp hành nhiều hình phạt khác nhau, bao gồm cả phạt tù.

Sắp có quy trình ứng cứu, xử lý tấn công mạng cho các báo điện tử
icon

Cục An toàn thông tin cũng cho biết, Bộ TT&TT sẽ sớm có hướng dẫn quy trình ứng cứu, xử lý sự cố tấn công mạng cho các cơ quan báo chí.

 
123

Giấy phép hoạt động báo chí: Số 09/GP-BTTTT, Bộ Thông tin và Truyền thông cấp ngày 07/01/2019.

Tòa soạn: Tầng 7, Tòa nhà Cục Tần số Vô tuyến điện, 115 Trần Duy Hưng, Quận Cầu Giấy, Hà Nội

Điện thoại: 024 3 936 9966 - Fax: 024 3 936 9364

Hotline nội dung: 0888 911 911 - Email: toasoan@ictnews.vn

123