Distributeurs automatiques vulnérables
Les machines à sous incluent plusieurs solutions de protection, mais il y a aussi des points faibles.
Selon des articles de presse publiés aux États-Unis, des pirates ont réussi à accéder aux guichets automatiques de Citibank entre octobre 2007 et mars 2008. Les voleurs ont pillé au moins deux millions de dollars américains avant de les espionner en espionnant les codes PIN. Le Dr Klaus Gheri, co-fondateur de la gestion stratégique des produits de Phion, commente les dangers associés aux machines à sous.
"Le guichet automatique lui-même est un système bien sécurisé au sens physique du terme. En revanche, le câble réseau qui sort de la machine ne l’est pas. Par conséquent, pour des raisons de sécurité, il est essentiel que la communication entre le guichet automatique et le système serveur central soit cryptée. Une attaque sur la jointure n'aurait probablement pas réussi si cette méthode simple avait été utilisée. À cette fin, les banques – tout comme les entreprises employant des travailleurs mobiles – doivent établir un réseau privé virtuel (VPN) prenant en charge les communications cryptées et sécurisées. »
Cependant, l'installation d'une solution logicielle supplémentaire pour le cryptage peut enfreindre les accords de niveau de service déjà en place avec les fabricants de guichets automatiques. Ainsi, la seule mesure possible est de crypter les communications au sein du système et de fournir une protection contre les attaques du réseau via les périphériques pare-feu / VPN, estime Phion. Le défi pour les banques est d'installer des boîtiers VPN directement dans les armoires des guichets automatiques. Ici, cependant, il y a des contraintes d'espace, et les machines placées à l'extérieur sont soumises à d'énormes variations de température selon la saison. De plus, les solutions de gestion VPN traditionnelles ne peuvent pas gérer un grand nombre de sites et le service sur site peut être trop coûteux.
"Les attaques contre les distributeurs automatiques nécessitent une expertise sérieuse et un effort considérable. Les consommateurs sont beaucoup moins susceptibles d’être victimes d’une telle attaque que d’une fraude par carte de crédit. — a ajouté le spécialiste Phion.
Le cas de Citibank n'a pour l'instant été publié que dans le cadre de poursuites judiciaires contre les attaquants, et leurs méthodes de fraude ne sont pas encore connues. Tout ce que vous savez, c'est que leurs attaques ont été menées à distance sans s'approcher des guichets automatiques. Les guichets automatiques concernés étaient exploités par des sociétés externes pour le compte de Citibank.
