Europese banken gewaarschuwd: steun voor stijging van geldautomaatfraude

Banken zullen de geldmachinefraude waarschijnlijk zien stijgen, tenzij stappen worden ondernomen om hun geldautomaatinfrastructuur te verbeteren, heeft het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA) gewaarschuwd.

ENISA zei banken bevinden zich momenteel in een "delicate overgangsfase" waarbij het negeren van de risico's voor geldautomaten betekent dat ze terrein verliezen in een kritisch gevecht dat belangrijk is voor het economische systeem van elke natie.

Over het algemeen zijn ze, als ze eenmaal zijn geïnstalleerd, slecht beheerd en zelden bijgewerkt, volgens het rapport "ATM Crime", vrijgegeven maandag.

[Verdere lezen: Hoe malware te verwijderen van uw Windows-pc]

Europese banken in 22 landen verloren een collectieve € 485 miljoen [m] als gevolg van ATM-fraude in 2008, volgens op cijfers die eerder dit jaar werden vrijgegeven door het European ATM Security Team (EAST), een non-profitorganisatie bestaande uit financiële instellingen en rechtshandhaving.

In totaal werden 12.278 aanvallen gemeld op geldautomaten, wat neerkomt op een toename van 149 procent ten opzichte van 2007, OOST zei. De meest voorkomende aanval was 'skimming' of het koppelen van apparatuur aan een geldautomaat die de magnetische strip van een kaart registreert en vervolgens sluikmiddelen gebruikt om de pincode van een persoon (persoonlijk identificatienummer) vast te leggen. Dan kan een lege ATM-kaart worden geprogrammeerd met die details en worden gebruikt voor frauduleuze transacties. Bijna € 400 miljoen [m] (US $ 695) van de fraude vond plaats buiten het land waar de kaart werd uitgegeven. Dat komt omdat ongeveer 90 procent van de Europese banken nu chip-en-pin-kaarten gebruikt, ook wel bekend als EMV-kaarten, waarbij de geldautomaat en de meeste apparaten op het verkooppunt controleren of de kaart een speciale microchip heeft.

Maar veel machines in landen in landen die geen gebruik maken van chip-en-PIN, controleren niet op de chip en vertrouwen alleen op de magneetstrip en pincode om de transactie te autoriseren.

Hoewel banken maatregelen hebben getroffen om hun geldautomaten zijn beter bestand tegen skimming en geven consumenten voorlichting over hoe gesleutelde machines te herkennen, er zijn verschillende andere zwakke punten in ATM-systemen, aldus ENISA.

"Geldautomaten maken vaak nu gebruik van algemeen beschikbare besturingssystemen en standaard hardware, en als gevolg hiervan zijn gevoelig voor besmetting met virussen en andere schadelijke software, "zei ENISA.

Veel machines draaien op het Windows-besturingssysteem van Microsoft. Patches moeten worden getest en in licentie worden gegeven door de fabrikant van de ATM, wat een extra obstakel vormt om de machines up-to-date te houden. Het vergroot de kans dat geldautomaten - die vaak niet-versleutelde koppelingen hebben met de back-endsystemen van banken - meer kwetsbaar zijn voor wormen en malware. Sommige van Diebold-geldautomaten raakten in 2003 bijvoorbeeld besmet met de Slammer-worm, aldus ENISA.

Eerder in het jaar werd een aantal geavanceerde malware ontdekt op geldautomaten in Oost-Europa. Het registreerde de magnetische stripinformatie op de achterkant van een kaart en de PIN (persoonlijk identificatienummer). De verzamelde kaartgegevens, die vervolgens werden gecodeerd, konden worden afgedrukt door de bonprinter van de geldautomaat. Die afdruk kon worden verkregen via een verborgen softwarebord weergegeven nadat de dief een speciale kaart in de machine had gestoken.

Er is niet onthuld hoe de malware op de geldautomaten in Oost-Europa was geïnstalleerd. Maar ENISA waarschuwde dat pinautomaten in onbeschermde gebieden met toegankelijke stroomverbindingen en netwerkkoppelingen het voor een aanvaller gemakkelijker maken.

"Beveiligingsproblemen met betrekking tot de geldautomaten worden te vaak niet herkend", aldus het rapport. Zeer weinig banken, indien aanwezig, hebben volgens het rapport een formele en volledige veiligheidsrisicobeoordeling van hun ATM-infrastructuur uitgevoerd. "Het gebruik van het concept 'beveiliging door middel van obscuriteit' dat al lang samen met toegewijde apparaten is gegaan, is conceptueel onjuist en dat blijkt ook zo te zijn, nu de wereldwijde trend van bankfraude toeneemt."