【セキュリティ魂】ハッキングの餌食となったATM

　香港に本社を置くセキュリティ企業のNetwork Box社が、ATMのセキュリティについてのホワイトペーパーを発表した。現在のトレンドである、ATMのWindows化と、レストランやコンビニなどに設置されるいわゆる「キャビネットATM」の増加が、ATM、しいては利用者を危険にさらしていると言う。

　一昔までのATMは、独自のソフトウエア・ハードウエアと独自のネットワーク・ラインを使っており、安全度は比較的高かった。が、昨今はPC/Intelのハードウエアと、PCに一般的に使用されているOSを使っている「IP-ATM」がその70％を占めるとされており、そのトップシェアをWindows XP Embeddedが占めている。つまるところ、IP-ATM、は普通のIPプロトコルを使う普通のPCに近く、Windowsのセキュリティの脆弱性がほとんどATMにもあてはまることになる。

　もちろん、ATMは暗号の使用、ファイアーウォールの設置などでセキュリティは万全とうたわれているが、Network Box社のホワイトペーパーによるとそうでもないらしい。トリプルDESを使用して、顧客のデーターの安全の確保をしているといういことだが、今年の1月にNetwork Box社がATMマシーンのネットワーク・トラフィックを分析してみたところ、実際にトリプルDESで暗号化されているのはPINナンバーだけで、PIN以外、カード番号、カードの有効期限、取引金額、残高等の情報は全て平文でやりとりされているという。設置されているファイアーウォールも、非権限アクセスを困難にはするものの、上記の平文情報がATMから送信されていることには変わりない。

　キャビネットATMのラインにパケット・キャッチャーを設置し、PINナンバーを利用者が入力するところを「ショルダー・サーフィン」（コンピュータ・セキュリティ用語で、利用者の背後から肩越しにPINナンバーの入力などを盗み見すること）する、といったシナリオが簡単に描けてるが、これは2006年に実際に英国で起こった事件そのものである。この事件では、電話のラインにアダプターをつけて、取引をMP3プレーヤーで録音し、全部で3800万円相当が盗まれている。

　Hack247.co.ukで紹介されている記事では、2006年にATMをテストモードにして行われた犯行のビデオがあった（現在はビデオは削除されている）。
Hack247.co.uk

　テスト・モードにし、パスコードを入力し、そのATMが扱う紙幣の種類をソフトウエア上で変更し、実際には20ドル紙幣を出金しているにもかかわらず、5ドルや1ドル札であると計算させて、紙幣を引き出す方法のビデオだ。つまり、20ドル札で出金するATMに、紙幣は1ドルだとソフトウエアで変更指定すると、50ドル分の出金に20ドル札を50枚、合計1000ドル分の出金をしてしまう。ブログのコメント欄では、「ATM ユーザー・ガイド・マニュアル」とGoogleするだけで、テスト・モードにする方法が分かるとコメントされている。この犯罪に使われたATMはWindowsベースではないようだが、リスクの低いと言われる独自ソフトウエアのATMでさえ、このような脆弱性が存在していた。

　WindowsがATMに？と驚いてしまう写真は、ブログMelissa's Adventuresで紹介されている。
Melissa's Adventures

　去年に2月、映画館にあるタッチスクリーンのPCのキャビネットATMに「タスクバー」が現れ、「タスクバー → スタートメニュ → プログラム → アクセサリー → ペイント」とペイント・プログラムを立ち上げ、デスクトップを「PWNED」（米国インターネット俗語で"own"つまり攻略されたの意味）にした、とブログされている。

　Network Boxは、3つのエリアでのリスクをあげている。最初のふたつはIPワーム攻撃とDoS攻撃。SlamerやNachiにATMが感染し、IDSによってオフラインにされた例がいくつかレポートされていることからも分かろう。そして3つめは、上記のように利用者の情報の傍受だ。Network Box社のホワイトペーパーでは、こうした攻撃を阻止するためには、ATMネットワークにルーター、ファイアーウォール、IDS・IPSそしてVPNが可能な機器を設置することが良いと締めくくっている。

執筆：米国　笠原利香

関連リンク
・Network Box のwhite paper "IP Automated Teller Machine (ATM) Security"
・Network Box社

■こちらもオススメ！【セキュリティ魂】
・アンチウイルスソフトの選び方
・優勝賞金は400万円！韓国ハッキングコンテスト
・韓国のハッカー育成国家プロジェクトの真意
・米屈指のテック大学MIT神話崩壊 幼稚なフィシングメールの餌食に
・あなたの携帯電話を盗聴器にかえるウイルス
・【セキュリティ魂】バックナンバー