Hackers probeerden in te breken op geldautomaten in België

In België hebben hackers geprobeerd om digitaal in te breken op geldautomaten van de bank Argenta. Uit voorzorg heeft de bank een aantal geldautomaten van een bepaald type uitgeschakeld om diefstal van geld te voorkomen.

De 'digitale plofkraken' vonden plaats in de Antwerpse gemeente Borsbeek, zo bevestigde het Antwerpse parket vrijdag aan De Tijd. Er zijn meerdere inbraakpogingen geweest die vorig weekend hebben plaatsgevonden, maar of er daadwerkelijk geld is buitgemaakt wilde de woordvoerder niet zeggen. Wel is er een onderzoek opgestart.

Het gaat om geldautomaten van de bank Argenta, waarbij de bank na de hackpogingen meerdere automaten heeft uitgeschakeld. Dat deed Argenta nadat bleek dat de hackers het op een bepaald type geldautomaat hadden voorzien. Om welk type het precies gaat is echter niet duidelijk, en tevens is niet bekend welke kwetsbaarheid de hackers hebben geprobeerd te misbruiken.

Volgens De Tijd is het de eerste keer dat er in België geldautomaten digitaal worden gekraakt. In andere landen hebben hackers wel vaker geprobeerd om digitaal in te breken op geldautomaten.

Reacties (138)

[g0tanks]

Het is wel interessant om te vermelden hoe de hackers toegang krijgen. Het artikel van De Tijd licht dat iets meer toe:

Maar nieuw is het fenomeen niet. In Duitsland werden meerdere banken drie jaar geleden het slachtoffer van een praktijk die ‘jackpotting’ heet. Daarmee breken criminelen in geldautomaten in door schadelijke software of malware te installeren. Dat doen ze bijvoorbeeld door een paneel van de automaat te verwijderen waardoor ze bij een USB-ingang van de automaat kunnen. Als de inbraak succesvol is, kunnen ze de automaat zo sturen dat die biljetten begint uit te spuwen. In andere gevallen breken misdadigers in op de centrale IT-systemen waarop banken hun geldautomaten laten draaien. Zo’n aanvallen duren soms hooguit een kwartier, maar de financiële schade kan groot zijn.

[xantilyst1]

Wat hadden de ontwerpers van de automaten gedacht, usb'tje afschermen door een paneel is veilig genoeg?

[johnkeates]

De ontwerpers gaan voor 'cover your ass' en 'obscuriteit'. Het zijn vaak oudere systemen (want in theorie is dat 'bewezen' stabiel) gebaseerd op oude OS/2 of Windows versies, op hardware met weinig bescherming. De software zelf is behalve een brak OS ook vaak wat matig; de beveiliging komt neer op het equivalent van een paar if-statements in de code, en cryptografische ondertekening van de hardware onderdelen. Vaak geen ASLR, geen sandboxing, geen pointer authentication of control flow guarding.

Als je ergens een I/O poort kan vinden waar je bij kan ben je in 99% van de gevallen binnen, zij het via DMA (bijv. als je de USB controller via de USB poort kan kraken - nog voor dat je bij het OS en de USB driver komt) of juist het OS en de drivers pakt bij bijvoorbeeld netwerk of USB packets - zat overflow en logic errors waarmee je een automaat kan overnemen.

Sommige voorbeelden zijn wel heel triest; zo waren er automaten die op Flash draaien in een soort van kiosk-mode browser op windows. De 'bescherming' was dat je in theorie niet uit de browser kan. Probleem is dat er een help functie in zat, die een optie voor een context menu had, daar kan je de flash settings mee openen, en in de flash settings kan je een file browser openen. In de file browser kan je arbitraire binaries starten, en om dat ze dachten dat het een goed plan was om dat als SYSTEM te draaien heb je feitelijk het hele systeem onder je controle. En door dat er een barcode scanner op zat kan je daarna relatief snel met een telefoon, tablet of simpelweg een geprint A4'tje tekst invoeren (die scanners zijn in de meest basale configuratie slechts als HID device of PS/2 keyboard aangesloten op het OS).


Afhankelijk van wat je wil doen heb je dan een set opties:

- remote control van de cassettes
- remote control van de happy flow (kaart er in, pin er in, praten met de bank)
- kaartlezer / entry uitlezen
- extra functionaliteit toevoegen zodat iemand lokaal via de hardware knoppen controle heeft over de automaat


Elke keer als er een automaat, billboard of ander publiek systeem opgezet wordt en men denkt goedkoop af te zijn door gewoon een soort van PC met desktop software en randapparatuur in een facade te drukken heb je eigenlijk al toegeven het inzicht niet te hebben om het goed te doen. Zodra je een desktop-achtige setup met desktop-achtige input aan de buitenkant toegankelijk vraagt is het een kwestie van tijd tot je compleet overgenomen wordt. En zo'n setup is niet eens goedkoper dan een goede embedded oplossing, slechts toegankelijker voor aanbestedingsprocedures en detacheringsbedrijven die zelf al in een vendor lock-in zitten (bijv. bij Microsoft of Oracle).

Je hoeft niet alles van nul zelf te bouwen, maar alles bij een generic vendor ophalen en 'hopen dat het werkt' levert meer problemen dan duurzame oplossingen op.

[Reactie gewijzigd door johnkeates op 23 juli 2024 06:06]

[RAAF12]

Ik heb inderdaad eens een vastgelopen flappentap gezien die een Windows NT scherm liet zien. Ik was zeer verbaasd en had niet verwacht dat banken dit gebruikten. Volgens mij van een indoor terminal in een V&D vestiging. Jaartje of 25 geleden zal dat geweest zijn....

[TWeaKLeGeND]

Als dat vorige week was zou ik de verbazing begrijpen. Maargoed dat is misschien ook omdat we nu al lang en breed weten dat die dingen oude Windows etc draaien dus destijds was het 'wtf Windows?' en nu is het 'wtf zwaar verouderde Windows NT?'

[Reactie gewijzigd door TWeaKLeGeND op 23 juli 2024 06:06]

[RAAF12]

Ik ben geen kenner, zo blijkt :-) Weet je toevallig waar de ING terminals anno 2020 op draaien? Just curious...

[TWeaKLeGeND]

Geen idee, ik mag hopen dat al die nieuwe apparaten speciale software draaien maar ik kan het me goed voorstellen als er nog apparaten in gebruik zijn die een oudere Windows draaien. Dan geen NT maar XP of embedded. Die apparaten zijn wss niet van de bank. Er zijn een aantal spelers wereldwijd die ze maken (welk aantal geen idee)

https://en.m.wikipedia.org/wiki/Automated_teller_machine bij software wel leuke read

[Reactie gewijzigd door TWeaKLeGeND op 23 juli 2024 06:06]

[ilaurensnl]

Haha ik heb hier wel een bios scherm gezien biostar? Also ik me het goed herinner

[AlexKnight1978]

Een paar jaar geleden heb ik er eentje gezien van de SNS bank op straat, liep op XP. Welke versie weet ik niet.

[Left]

Ik wilde een paar jaar geleden pinnen bij een ABN automaat die op het scherm een DOS prompt toonde ..
Ik kon nog een beetje typen ook! Commando's uitvoeren lukte niet, had ook geen zin om dat eindeloos uit te proberen maar iemand die zich er een beetje in had verdiept had vast wel iets kunnen doen ..

[A. Ben]

Naja de meeste mensen gaan niet proberen om het paneel te verwijderen en weten vaak ook niet dat daar achter een usb poort is en de meeste plofkrakers blazen heel die ding op voor geld.

[Paluke]

Maar er zitten toch ook camera's in de geldautomaat? Best een 'bold move' om een paneel weg te halen

[ultimasnake]

Valt mee denk ik, mutsje op, paneeltje eraf, usb dingetje erin, kelpje terug en weg.

Ik ga er met 99% zekerheid vanuit dat de beelden van een pinautomaat slechts bekeken worden als er iets aan de hand is. En dan ook nog eens achteraf. Alle pinautomaten 24/7 in de gaten houden (manueel of geautomatiseerd) lijkt me erg prijzig

[onecht]

Ik mag hopen dat het paneel verwijderen direct een signaal geeft.

[dasiro]

wie zegt dat het een verwijderbaar paneel zou moeten zijn? Als je op het zijpaneel van een case met chassis-intrusion sensor een klokboor zet of haakse slijper, dan kan je perfect er in zonder die sensor af te laten gaan (om maar een prosumenten-product als voorbeeld te geven)

[TheVivaldi]

Klopt, die beelden worden inderdaad achteraf bekeken als er iets aan de hand is. 24/7 controleren zou zeker duur zijn, alhoewel dat hier in Nederland nu wel minder duur zal zijn nu dat er steeds minder geldautomaten overblijven.

[indigo79]

Dit is iets dat tegenwoordig redelijk betrouwbaar op te lossen is met machine learning (anomaly detection). Ik zie weinig reden om die permanent door een mens te laten monitoren. Waarschijnlijk ligt de operator dan toch te slapen als er echt iets gebeurt (zoals al meermaals gebleken is met backup bestuurders van zelfrijdende auto's).

[RoestVrijStaal]

Ooit Opsporing Gezocht gezien?

Helaas filmen die camera's niet in 4K UHD met automatische scherpstelling, maar zwart-wit aardappel-kwaliteit.

[tijgetje57]

Zelfs je raboreader heeft nog een betere kwaliteit camera dan er in zo'n flappentap zit.

[GenomDalar1983]

Ja inderdaad... Was het maar net zoals bij van die series CSI, Bones, Law and Order dat ze van die aardappel kwaliteit met een paar keer drukken op Enter met bliep-geluid een 4K UHD kwaliteit beeld van de dader met naam en toenaam kunnen achterhalen.

[indigo79]

Langs de andere kant moet de prijs van zo'n automaat ook wel een betere camera toelaten, als je ziet wat de camera van zelfs de goedkoopste smartphone al doet. Het levert vermoedelijk nog altijd meer geld op daar wat te besparen dan de schade bij misbruik.

[timberleek]

De camera hardware is op zich niet de issue.

Het aanhoudende datagebruik (op soms remote locaties) en grote hoeveelheden opslag maken het een probleem.

Daarmee vervalt de eis voor "goede" camerakwaliteit, dus waarom zou je de goede hardware er nog in zetten?

Plus evt nog de leeftijd van die hardware waardoor goede camera's minder voor de hand liggend was.

[skozaa]

HAHA AARDAPPEL KWALITEIT

[Crashtestdummy!]

we zijn 2020 eh, dieven dragen nu mondmaskers

[kodak]

Bij beveiliging gaat het niet alleen om wat anderen doen maar ook hoe je zelf invloed hebt op een kans. En dan lijkt het me niet bevorderlijk om security by obscurity te hanteren als die toegang niet geheim kan blijven voor criminelen en de toegang ook niet heel stevige afscherming heeft tenzij criminelen het apparaat gewoon blijven gebruiken.

[K-aroq]

Security by obscurity is prima om iets nog veiliger te maken. Iedere extra laag is er 1.

[kodak]

Dat hangt ook van de andere beveiliging af. Lagen kunnen bijdragen maar het aantal maakt het niet zomaar veiliger, dus ook niet security by obscurity.

In dit geval van de geldautomaten heb ik mijn twijfels of het simpele security by obscurity is. Als ik de reacties lees krijg ik de indruk dat iemand toch meer moeite moet doen dan even een verhulling weghalen.

[SofieX]

Dit is helemaal niet waar, wat jij ons komt te vertellen. 'Security through obscurity' rekent op de domheid van een aanvaller. Slechts één frisse autist is benodigd, om de code te deobfusceren.
Volgens het Security+ examen, is Security Through Obscurity, slecht.

En ik herinner me de aap die aan de hendel draaide in het album 'De Straalvogel' uit de stripreeks van Jommeke. In ruil voor wat bananen stond het aapje de gehele nacht te zwengelen. Toen zijn handen moe waren, gebruikte het aapje zijn voeten.
Ik wil maar zeggen, sommige mensen, gaan er echt voor.. En outsourcing is geen probleem.

Je steekt je huissleutel ook toch niet in een bloempot aan uw achterdeur onder een laag aarde?

[Reactie gewijzigd door SofieX op 23 juli 2024 06:06]

[Left]

Ik geloof niet dat je z'n reactie goed hebt begrepen. @K-aroq bedoelde niet dat je met uitsluitend security by obscurity een systeem goed kon beveiligen, hij zegt letterlijk 'iedere extra laag is er 1'.

Elke beveiliging is te omzeilen maar je kan het aanvallers wel zo moeilijk mogelijk maken. En dan helpt zelfs een extra laag met security by obscurity een beetje.

[Vlizzjeffrey]

Waarom zou je dat niet proberen als je probeert geld eruit te krijgen? Zou toch een van de eerste dingen zijn waar ik aan zou denken, paneel eraf.

[Tjidde]

Als je een cassette eruit haalt zonder de juiste dingen te doen gaat er een bom in af.
Soms zitten er ook mechanische beveiligingen op dat soort dingen die bijvoorbeeld alleen met een fysieke sleutel te ontmantelen is.

Bij een plofkraak hopen ze dat de knal snel genoeg is om te zorgen dat er genoeg biljetten nog goed zijn.

[bytemaster460]

De meeste mensen gaan ook geen kraak zetten. Hackers gaan juist op zoek naar zwakheden in het systeem en dan kun je niet wegkomen met "niemand weet toch dat er een USB-poort achter dat paneel zit". Beiliging zou niet een kwestie moeten zijn van "niet weten" maar van "niet kunnen". Eens lekt toch alle info uit.

[ThomasBaas]

Je kan er gif op innemen dat dit op een gegeven moment bekend is

[Potenscia]

Het valt te verwachten dat criminelen zoeken naar makkelijkere manieren dan plofkraken, maar dit is natuurlijk makkelijker te verhinderen dan het opblazen van een geldautomaat.

Oh ja, je kan er beter geen gif innemen, maar eerder donders op zeggen.

[eliasje]

Bovendien zit er ook een camera op.
Lijkt mij sterk dat je ongezien een paneel eraf kan halen

[Nick1402]

Het zijn niet de meesten mensen die de reden zijn om die usb ingang niet op een bereikbare plek te zetten.

De meeste mensen zullen ook geen vliegtuig opblazen en toch er is een zeer strenge beveiliging op luchthavens. Ook maar mee stoppen dan?

[Frenziefrenz]

Veel daarvan graag wel ja. Het merendeel van die "beveiliging" doet niks voor veiligheid, enkel voor de schijn.

[Nick1402]

Door gewoon zichtbaar aanwezig te zijn als beveiliging zullen mensen minder geneigd zijn verboden dingen te doen. Ze doen wel degelijk iets, al is het onbewust.

[MauricevL]

Deze automaten worden ook onderhouden. Onderhoud vanaf afstand (via een internet lijn) is een mogelijkheid met nogal wat haken en ogen. Er is natuurlijk altijd de beveiligde lijn voor transacties, maar die is daar niet voor te gebruiken. Dan blijft de USB poort al snel over als een logische optie om onderhoud te verrichten. Beveiliging is in de realiteit altijd een afweging tussen bruikbaarheid en veiligheid.

[bytemaster460]

De USB-poort zelf is nog niet het probleem, maar de eenvoudige toegang daartoe.

[Blokker_1999]

Zelfs die hoeft geen probleem te zijn. Wel zou het zo moeten zijn dat om deze poort te kunnen gebruiken men toegang zou moeten hebben tot de achterkant van het apparaat om van daaruit deze eerst in een onderhoudsmodus te zetten waarbij deze de poort fysiek verbind met de computer. En ja, dan heb je meer en complexere procedures voor toegang te krijgen, zeker buiten kantooruren, maar je automaat is wel een stuk veiliger.

[Marzman]

Maar dat is met het geld in de automaat precies zo. Je kan de usbaansluiting net zo goed beveiligen als dat geld. Dat ligt ook niet achter een frontje.

[K-aroq]

USB poort aan de achterkant van de machine, eventueel nog achter slot en grendel.

[t link]

Het is niet zomaar een paneeltje. dit is echt een paneel waar je met een zware goeie boor doorheen moet boren wil je erbij komen. je gaat er hoe dan ook iets van poorten of kabels in moeten hebben om de flappentap aan te sturen.

[caipirinha]

Ach er zijn ook hele hordes mensen die denken dat een bluetooth voordeurslot veilig is.
Vanuit het begin van je ontwerp veilig denken is voor heel veel techneuten en ontwerpers een brug te ver.
De fysieke sloten op die geldautomaten en automaten in zijn algemeenheid zijn ook vaak heel bedenkelijk.

[GORby]

En waarom zou een bluetooth voordeurslot onveiliger moeten zijn dan eentje waar je gewoon een sleutel in steekt? Ik zeg niet dat er geen onveilige implementaties bestaan, maar het onveilig noemen gewoon omdat het bluetooth is, is gewoon onzin. Je kan immers perfect een versleutelde verbinding opzetten via bluetooth, waarbij je een praktisch niet te kraken beveiliging hebt.

[caipirinha]

Ik was niet helemaal compleet want in theorie kan het wel safe alleen ben ik nog geen enkele veilige oplossing tegengekomen (niks, nada, nul). Een paar willekeurige zaken waarom ik er niets van moet hebben.

- Om wireless acces safe te maken moet je in alle lagen veiligheid inbouwen en het grootste probleem is dat dit soort sloten wordt gemaakt door programmeurs en leuke startups en niet door security experts of zelfs maar slotenmakers.
Trek de elektronica uit de kast en verbind twee draadjes door is vaak voldoende om binnen te komen.
De bluetooth stack zelf is ook niet ontworpen voor security toepassingen, compleet aanpassen kan misschien maar dan draait het niet meer op je telefoon of computer. Dus een crypto berichtje versturen via bluetooth kan wel maar dat maakt bluetooth zelf nog niet secure.
- Niet aanwezige of alleen kindercrypto en geen rolling codes, de meerderheid van de bluetooth sloten is gevoelig voor een simpele replay attack.
- onbalans tussen veiligheid gemak en kosten zoals plain tekst keys in de APK of bluetooth proximity unlock waarbij elk willekeurig apparaat gepaired kan worden met het slot na een beetje afluisteren van de communicatie
- Sloten die "ik ben niet op slot" of "ik ben crappy slot x" broadcasten.
- Dit soort sloten werkt altijd met een battery en een backup key die meestal onveilig is.
- Iemand die een fysiek slot wil compromiteren moet daarbij aanwezig zijn, een bluetooth slot kan comfortabel worden bekeken en uitgeprobeerd vanaf een veraf lokatie.

Een mooie presentatie waarin de meeste zaken voorbij komen, alhoewel al wat ouder, vind je hier https://smartlockpicking....Bluetooth_Smart_Locks.pdf

[AlphaRomeo]

Hoe veilig is een gewoon cylinderslot volgens jou dan? Een lockpick setje van Ali 'hackt' die zo, en anders is 'brute forcen' met een koevoet een fluitje van een cent.
Laten we niet doen alsof alleen digitale beveiligingen kwetsbaar zijn.

[caipirinha]

Niet, maar daar gaat de discussie niet over. Een bluetooth slot heeft een paar extra kwetbsaarheden t.o.v. een gewone cylinder.

Ik gebruik overigens geen gewone cylinders maar alleen nemef en DOM veiligheidscylinders, veiligheidsstrips een driepuntsluiting en een stalen plaat. Dus nee met een lockpickset of een koevoet kom je er bij mij niet simpel in.
(dom=belgisch, waar de meeste NL inbrekers weer niks me kunnen)

[Gamebuster]

Heb je ook tralies achter je raam? Zo niet, dan mep ik die koevoet wel door je raam heen hoor

[caipirinha]

Stalen rolluiken, een traliewerk voor de kleinere ramen en een alarmsysteem met doormelding.
Vooral voor de momenten dat ik wat langere tijd niet thuis ben.
De statistiek wijst overigens uit dat het ingooien van ramen juist de minst voorkomende manier is om binnen te komen (in Nederland dan).

[Gamebuster]

De statistiek

[Citation needed]

[caipirinha]

https://www.politie.nl/themas/woninginbraak.html

[WillySis]

Als er een alarm afgaat (ter plekke of in een centrale), dan is het misschien relatief veilig, maar een plekje bij de geldlade (waar niemand bij kan) lijkt mij veiliger.

[The Bula King]

Volgens het nieuws journaal vermoeden ze dat ze het netwerk waar de apparaten zijn mee verbonden hebben geïnfiltreerd en zo daar malware hebben kunnen op zetten op de verouderende windows computers.

[biglia]

Het waren sowieso verouderde automaten die getroffen konden worden.

Een woordvoerster van Argenta preciseerde aan de openbare omroep VRT dat het het oudste type van geldautomaten is dat werd geviseerd. “Die automaten zouden binnen afzienbare tijd vervangen worden, maar uit voorzorg hebben we ze nu stilgelegd”, zegt ze.

[Munchie]

Ah duidelijke uitleg, ik dacht al hoe krijgen ze het voor elkaar om verbinding te maken met de desbetreffende automaat. Openbreken en USB toegang dus.

Misschien dat iets als Tamper Detection zoals ik dat bij Lenovo laptops ken uitkomst zou bieden? Dus dat de USB port of de gehele automaat op slot wordt gegooid in een dergelijk geval.

[MMaI]

Firmware en software/OS in geldautomated zijn berucht voor de lage kwaliteit en oude versies. Vaak zijn nieuwe mogelijkheden zoals USB volledig afschermen in firmware niet mogelijk omdat er een stokoude Windows CE versie draait met in sommige gevallen communicatie over publiek internet naar de bank back-end. In veel gevallen is de gekozen aanpak om een dergelijke automaat ergens op de kop te tikken, open te maken en dan naar vulnerabilities zoeken. Banken zijn vaak laks in het wissen/onklaar maken van automaten wanneer een filiaal of bankautomaat verwijdert wordt.

[theobril]

Wow, het is mijn wereld niet. Is het zo makkelijk om een oude geldautomaat te verkrijgen?

[torretje2012]

https://www.atmmoneymachine.com/ soortgelijk zal er ongetwijfelt ook in de eu te vinden zijn.

[theobril]

Thanks, verbaast mij echt. Ik had verwacht dat er veel voorzichtiger mee omgesprongen zou worden.

[johnkeates]

Die staan gewoon op eBay. Je kan ook een nieuwe kopen, gewoon bij de geldautomatenfabrikant.
Er zijn ook meer dan genoeg presentaties en video's van mensen die lekker aan het knutselen met automaten. Aan de ene kant mensen die security research doen en aan de andere kant complete modificaties voor de lol (bijv. ombouwen tot gokautomaat die je altijd laat winnen - je 'wint' je opname van de geldautomaat).

[thefal]

Op Youtube heeft iemand er 1 gekocht en omgebouwd naar een slot machine. Je kunt bij hem dus echt geld pinnen, door je pinpas erin te doen, je pincode in te voeren, en vervolgens een casino-spelletje te spelen die je altijd wint:
https://www.youtube.com/watch?v=nHDpzczgdo0

Als je voor dat soort hobby doeleinden al een geldautomaat kan kopen...

[goarilla]

Ik denk niet dat je de Amerikaanse ATM markt zomaar mag vergelijken met de Europese. In de USA
kan zelfs een particulier zijn eigen ATM runnen en exorbirante utility fees aanrekenen !

[Vlizzjeffrey]

https://www.youtube.com/watch?v=M6-QY0RxTaE

[swagerinno]

Wel vrij suf om niet even een zonnebril op te zetten o.i.d., of een helm te gebruiken waarvan de plastic kap reflecterend is, zodat je ogen niet zo duidelijk in beeld zijn, ik vermoed dat ze op basis van deze beelden nu wel herkend gaan worden, of al zijn.

[Vlizzjeffrey]

Dat denk en hoop ik ook.

[la cucaracha]

Mee eens.. Dat bestond al in het tijdperk van de Compaq workstations. Cover met slot... wist je het slot te omzeilen en de klep te lichten dan.......... Einde activiteit van het systeem.. Was uiteraard wel te fixen door een handige Ali maar kostte tijd. Tijd die je niet hebt als er een alarm loeit .

[Anoniem: 58485]

Hier in Portugal heb je ook gewoon Windows gebaseerde machines. Volgens mij gewoon NT4.0 nog ofzo. Als gebruiker kan je dan transacties maken. Ik heb wel es wat geprobeerd zoals shortkeys om het standaard applicatiescherm te doen ontwijken, maar het zit best dichtgetimmerd. Als je al notepad op zo'n ding kunt starten dan kan je in theorie surfen naar de map Windows/system om vervolgens CMD.exe uit te voeren en zodoende in een dos promptje te zitten.

Maar middels fysieke toegang tot een USB of Serial poort dan ben je al binnen. Dan voer je malware uit dat volledig geautomatiseerd is voor dat systeem specifiek (daarom targetten ze ook bepaalde verouderde ATM's) welk geld uitspuugt on demand.

Hier is nog een hele oude video die de hardware en internals van een average (USA) atm laat zien. In europa verschilt dat niet zoveel. Maar er zitten wel degelijk connectoren op waarmee je de boel kunt hijacken. Het vergt dus kennis over hoe je erbij kunt komen met een ATM.

[Sando]

De carbanak hack was ook intrigerend: geld uit een pin automaat krijgen zonder het pin automaat aan te raken.
Meer in deze interessante podcast:

https://darknetdiaries.com/episode/35/

[Reactie gewijzigd door Sando op 23 juli 2024 06:06]

[Bauknecht]

Beetje laat in de discussie, maar heb zelf nog bankautomaten mee ontwikkeld. Het is niet zo simpel als gewoon een toetsenbordje aansluiten. Ik weet niet hoe het technisch juist werkt, maar het komt erop neer dat elk apparaat dat je wil aansluiten op de bankautomaat een certificaat moet bevatten, Wanneer je een onbekend apparaat aansluit, schakelt de bankautomaat per direct uit. Het klopt inderdaad wel dat die dingen Windows draaien.

[sluismaster]

Mooie aflevering van Darknet Diaries over dit soort diefstal:
https://darknetdiaries.com/episode/35/

[possenier]

Een kleine 20 jaar geleden werkte ik als IT-er voor een firma die onderhoud deed van bankautomaten. Dus alles wat ik zeg moet je in die tijd zien.

Toen deden wij gewoon het deurtje onder de automaat open met een simpele sleutel. Dan kon je direct aan de pc. Er werd nooit nieuwe software op gezet, deze stond op een HDdrive die we gewoon swapten. Het toestel was uiteraard ook met internet verbonden, maar het was enkel de software op de pc die toegang had op de lades met geld.
Deze waren enkel toegankelijk via de bank en zaten achter de machine.
Maar ik kan me wel inbeelden dat als je ter plaatse jouw disc in die pc stak, en ik denk dat ik zelf met mijn simpele chinese Lockpick set dit slot rap open had, je effectief de lade kan doen leeg spuiten.
Geen flauw idee hoe, maar ik geloof wel dat het toen mogelijk was. Zie black hat 2010 voor demo.

Ik heb ooit trouwens met een collega de bank in gebouw er naast binnen gestapt per vergissing en tegen dat mijn collega zich had aangemeld had ik met zelfde sleutel de automaat al open.
De bankbediende kon er gelukkig mee lachen en wij met rode wangen de bank er naast binnen gestapt...

[HollowGamer]

Maar hoe eenvoudig is het om daadwerkelijk is iets in te prikken op zo'n machine? Ik neem aan dat je toch wel iets van kennis moet hebben, anders gaat je tijd verloren in het zoeken naar de USB-poort, OS/systeeminrichting kennis, etc. Er schijnen veel te draaien op OS/2, maar ook op UNIX/dos, als crimineel moet je wel creatief en snel zijn lijkt me? 🤔

Het lijkt me zo raar iemand buiten (of is er aan de achterkant van de automaat altijd een ingang?), met een ingehookte laptop of iets te zien staan. Al is tegenwoordig ook de maatschappij van niet vragen stellen ook aanwezig, zoals met mijn gestolen fiets die iedereen zo meeneemt of doorknipt.

[Humbatiki]

Ik ben er bijna zeker van dat er redelijk wat geld buitgemaakt Is. Banken zeggen het niet graag, maar ze gaan niet ineens +160 bankautomaten offline halen zonder reden.
Ook bij de befaamde plofkraken wordt er (meestal) best wat geld buitgemaakt, maar nooit toegegeven zodat anderen niet op hetzelfde idee komen. Ook de plofkoffers met verf halen niks uit, eerder afscheid effect want die inkt krijg je echt wel van de biljetten.

[litebyte]

Nee, de inkt krijg je niet van de biljetten. De biljetten zijn ook onbruikbaar - worden dan ook vernietigt als ze nog worden aangetroffen.

[Jhonna]

Los van specifiek of het wel of niet kan, stel ik mij de vraag als het écht niet kan waarom er dan nog steeds plofkraken gebeuren? Voor de kick? Vinden ze het leuk om te pronken bij vrienden? Volgens mij kan er meer dan dat wij denken, en zitten de mensen in het "millieu" ons nu uit te lachen. Iemand dat een plofkraak doet denkt aan alles, dus ook aan de inkt op de biljetten. Als de inkt er niet af gaat, is er geen nut een plofkraak te doen.

[litebyte]

Bij een plofkraak komt er geen inkt op de biljetten. Dus een plofkraak kan wel degelijk resultaat opleveren, losstaande ervan dat het nog wel eens voorkomt dat een deel van de biljetten beschadigd (verbrand.)

Een plofkoffer werkt anders.

[Reactie gewijzigd door litebyte op 23 juli 2024 06:06]

[Jhonna]

Thanks voor de verduidelijking! Dan snap ik minder waarom deze tweaker een plofkoffer aanhaalt in een comment over plofkraken

[litebyte]

Wat @Humbatiki Humbatiki probeerd aan te geven, dat ondanks beschermende maatregelen (zoals het gebruik van plofkoffers (die naast verf ook nog eens heel heet worden en een zeer luid alarm afgeven) het toch nog lonend is om bijv. plofkraken uit te voeren en plofkoffers te stelen - dat laatste heeft geen zin.

[mikeyfire643]

Helaas bevatten heel veel automaten geen plofkoffers. Ook zit er een verschil in de veiligheidsniveau’s van de verschillende automaten.

[litebyte]

Nee, automaten bevatten geen plofkoffers (zie uitleg hierboven) Alle automaten bevatten een stevige metalen trommel-constructie waarin het geld wordt bewaard voor uitgifte.

[mikeyfire643]

Er zijn zeker wel automaten die plofkoffers gebruiken, maar dit zijn de grotere machines waar ook geld gestort kan worden bijvoorbeeld.

[Blokker_1999]

Mag jij me eens vertellen hoe je die inkt van de biljetten haalt. Zo een plofkoffer gebruikt niet een beetje inkt op de biljetten, maar de inkt wordt letterlijk tot ontploffing gebrracht om zo een hele wolk rode inkt te maken waarmee zowel de biljetten onbruikbaar worden gemaakt alsook de aanvaller rood wordt gekleurd. Verder wordt de temperatuur van de koffer op dat moment zo hoog dat je de koffer niet meer met je handen zult opheffen. En omdat het een ontploffing betreft wordt een deel van het geld sowieso onbruikbaar door brandschade.

[Humbatiki]

Dan zal het wel een broodje aap verhaal zijn. Kennis vertelde me dat het niet zo erg was als ze laten uitschijnen en het geld wel degelijk te hergebruiken was. Blijkbaar is die verkeerd (en ik dus ook).
Maar het feit dat Argenta betreffende automaten sluit zal toch niet zonder reden zijn lijkt me. Aannemelijk Is dan ook dat er wel degelijk buit gemaakt is.

[Blokker_1999]

Al was het maar gewoon om de plaag van aanvallen te stoppen. Naast de buit komen er ook een hoop kosten bij om alles weer te herstellen.

Hoe groot de buit is, is moeilijk te zeggen natuurlijk, dat er een buit kan zijn valt niet te ontkennen, maar dat zal niet in de miljoenen oplopen. Per kraak mogelijks enkele duizenden Euro als ze geluk hebben. Vergeet niet dat je met jackpotting niet de hele geldcassette in 1 keer kunt leegmaken aangezien er maar een beperkt aantal biljetten per keer door de verdeler heen kunnen. Aan de andere kant wil je ook geen half uur aan die automaat staan nadat je net veel lawaai hebt gemaakt om tot aan de USB interface te geraken. Maar het kan inderdaad zijn dat ze 2 keer zonder buit vertrokken zijn ook. Iemand anders poste een filmpje hier in de comments waarop je dezelfde dieven 2 pogingen op 2 locaties ziet doen zonder succes.

[Fre4ked]

bij een plofkraak in 2018 wist men toch €400.000 buit te maken (https://www.demorgen.be/n...uro-buitgemaakt~bf108bb2/). Ik weet nog dat ik schrok toen ik dit hoorde. Had namelijk nooit gedacht dat daar zoveel geld in zat

[THA_ErAsEr]

Voor enkele dieven is een paar duizend euro veel geld, maar voor een bank is dat relatief weinig. Natuurlijk gaat men die automaten offline halen, omdat men wel door zal hebben wat en hoe men ze probeerd te hacken. Liever dat dan dat men verder probeerd en er ergere dingen gebeuren dan wat geld kwijt. Slecht in het nieuws komen voorkomen ze ook liever.

[Manderlay1]

Is gewoon een groepje die aangestuurd wordt door de banken of overheden om plofkraken en dergelijke te doen om binnen x aantal jaren cash-automaten te laten verdwijnen en enkel cash afhalingen te kunnen doen in het regio kantoor, tussen 9u en 11u. En zo gaan ze cash geld uit roulatie brengen en kunnen ze eens 10% of meer afromen van wat er op rekeningen staat van de burgers.

[skdevil]

Beetje ver gezocht. Corona bestaat niet en de aarde is plat.

[Manderlay1]

Corona bestaat wel, weet ik uit ervaring. Maar het is de droom van de banken en regeringen om geen cash geld meer te hebben. Binnen hier en 10j is dat het geval. Niet omdat ze het verbieden maar omdat we allemaal richting contactloos betalen geduwd worden en het is ook zeer makkelijk. Als je nu kijkt naar de jeugd hebben ze bijna geen cash meer, payconiq en bank apps op de smartphone.

[THA_ErAsEr]

Zoveel vragen, zoveel debiele antwoorden dat je waarschijnlijk klaar hebt staan. Dus ik pas.

[Manderlay1]

https://www.spaargids.be/...aten-stil-na-hacking.html

Het begint al. Het is de grote droom van regeringen en banken om cash geld te laten verdwijnen. Kan men wanneer nodig eens snel wat extra taksen heffen op het spaargeld. Zoals in Cyprus geweest.

[Jelster]

Ach, net zoiets als, mijn geld staat op de bank, dus is het vast veilig. Dus toch niet zo ver gezocht.

[Technomania]

Zou het wat te maken hebben met verouderde software?

https://www.security.nl/p...dautomaten+met+Windows+XP
https://www.apparata.nl/n...en-pinautomaat-2019-32626
edit: oud artikel (sorry)
edit2: nieuwer artikel toegevoegd.

[Reactie gewijzigd door Technomania op 23 juli 2024 06:06]

[Ortep]

Kan wel oud zijn, maar ik heb er laatst nog een gezien die in een blue screen of death had.
Dat was begin februari. Niet in Nederland, maar toch draaien ze dus nog

[supersnathan94]

In nederland draaien ze ook gewoon nog met XP achtige toestanden. Dat is volgens mij een standaard installatie van Windows CE. Die heeft dacht ik nog support lopen ook.

[johnkeates]

Support betekent niet zo veel. Het is een strategie om verantwoordelijkheid af te schuiven, maar lost feitelijk niks op.

[Vlizzjeffrey]

Hier op Youtube een filmpje van 2 lui die een jackpotting aan het uitvoeren zijn:
https://www.youtube.com/watch?v=M6-QY0RxTaE

onsuccesvol overigens

[Reactie gewijzigd door Vlizzjeffrey op 23 juli 2024 06:06]

[Edgarz]

Het is een wedloop. Stalen platen worden al aangebracht op GEA's. De gereedschappen worden dan gewoon zwaarder. Zo ook de explosieven die gebruikt worden...daar zou een gemiddelde terrorist elders in de wereld zich niet voor schamen. Alhoewel het doel geld is gaat het met dusdanig veel geweld gepaard en gevaar voor mensenlevens gepaard dat ik dit geen criminaliteit meer wil noemen maar het kwalificeer als binnenlands terrorisme.

[MotorLum]

Klinkt als een film. Ben erg benieuwd hoe zoiets in zijn werk gaat. Als er remote monitoren is van de apparaten, dan is er dus een lijn open.
Dit soort acties maakt het niet goedkoper voor de banken om de service naar de consument goedkoop te houden. Dit betekent weer nieuwe investeringen om dit soort acties te voorkomen.

[arbraxas]

Als ik zie hoeveel filialen er gesloten zijn dan hebben ze nog best wel wat geld over om er aan te spenderen.
Maar ja, de bankwereld en overheden zien het liefst contant geld gisteren nog verdwijnen om zo totale controle over de financiën en daarmee mensen te krijgen.

[Reactie gewijzigd door arbraxas op 23 juli 2024 06:06]

[ManiacsHouse]

Dat dus. Ze sparen bakken met geld uit aan de filialen die gesloten zijn. Informatie/afspraak? Ga eerst maar online zoeken. Kom je er niet uit dan bel maar. Alleen als het echt niet anders kan dan een afspraak, over een week of 2 is er wel plek... Mag je vervolgens ook nog helemaal naar het centrum van de stad waar je je auto niet kwijt kunt. En al jaren betaal je per maand een x bedrag om überhaupt een rekening te hebben. Het argument van banken dat het maar duurder moet worden en dat het er niet uit kan heb ik nooit begrepen. Daarbij zijn het tovenaars. Lening? Kijk tik tik tik klik en we toveren wat euro's op de computer tevoorschijn.

[Blokker_1999]

Je kiest zelf voor een bank waar je betaald voor bepaalde diensten die je bij een andere bank vaak weer gratis kunt krijgen. Dat is een eigen keuze. Dat banken hun cliënten steeds meer online dwingen is een spijtige evolutie, maar ergens ook wel begrijpelijk. We kunnen ook steeds meer online en we doen ook steeds meer online. Waarom dan onze bankzaken niet online doen?

En een lening? Daar moet toch echt geld tegenover staan. Een bank kan en mag niet zomaar geld tevoorschijn toveren. Een deel van het geld dat zij uitlenen komt net van dat geld wat wij bij hen op spaarrekeningen plaatsen. Al de rest wordt extern geleend bij andere kredietverstrekkers.

[K-aroq]

Er wordt niets gedwongen, de meerderheid van de klanten wil zaken graag digitaal regelen. Bij ING kan je alles nog op het kantoor doen, maar dat is steeds meer uitgestorven. Als je alles al online koopt ga je voor je bankzaken ook niet meer op pad.

[lulkoekje]

Misschien eens het boek: "Dit kan niet waar zijn" van Joris Luyendijk lezen. En dan nog eens stellen dat banken niet "toveren" met het verstrekken van leningen. Jouw ene gespaarde euro wordt bij sommige banken aan 10 verschillende mensen als lening gegund.. Toch wel een vorm van magie, eenzelfde euro 10 x uitgeven

[ManiacsHouse]

Dat bedoelde ik. Waar er vroegûh net zoveel geld (of goud dacht ik) tegenover moest staan als dat er uitgeleend werd is dat nu nog maar een klein, heel klein deel. En als ze onderuit gaan mogen we alsnog meebetalen aan al die getoverde euro's...

[lulkoekje]

Ja, het erge is dat wij maar een "klein" deel van die rekening betaalden en de zogenaamde hete aardappel is doorgeschoven naar andere landen die net niet adequaat genoeg hierop reageerden met alle ontwrichtende gevolgen van dien...

[arbraxas]

Tja, hier zijn alle banken verdwenen. Er waren 5 filialen. Dus keus uit 0 wat dat betreft. Vervangen door 1 pinautomaat zolang die er nog staat.

[Wickedmen030]

Daar tegenover staat wel dat het opslaan van het geld bij de ECB behoorlijk prijzig is voor banken. Zo kan de ECB weer monetair verleggen en extra geld uitgeven of printen.

[mbbs1024]

Ik snap niet waarom mensen een bankkantoor zouden nodig hebben, behalve oudere mensen zonder computer, zoals mijn moeder van 90 dan.
Mijn online bank, die ik al 20 jaar gebruik, voor gewoon bankieren en beleggingen, heeft zelfs geen kantoren, en is daardoor een stuk goedkoper dan andere banken.

En als ik wat cash geld nodig heb, vraag ik dat gewoon aan de kassa in de supermarkt, of ga ik naar de automaat, maar cash geld heb ik eigenlijk alleen nog maar nodig als ik naar de dokter ga, blijkbaar vinden dokters een bankcontakt kastje te duur (mijn huisdokter en kinesist in ieder geval).

[Reactie gewijzigd door mbbs1024 op 23 juli 2024 06:06]

[theobril]

Op zich is het Nederlandse betalingssysteem niet echt duur te noemen in vergelijking met andere landen. Ik krijg loon, dat geef ik uit via overmaken of uit de muur trekken. Dat is toch een service die ergens van betaald moet worden? Die paar lullige euro's per maand...
Natuurlijk beter dat al de kosten van het betalingssysteem worden betaald uit de winsten die ze met hypotheken maken, zeg ik als huurder

[Somoghi]

Ik kan me nog herinneren dat er een tijd was dat banken blij waren om mijn geld te mogen stallen. Ik kreeg rente over het geld. Zelfs op de betaalrekening. Kosten, geen, zolang je maar één minimaal bedrag stortte om de rekening te openen. Zelfs de kleine buurtdorpen hadden filialen bezet met personeel wat betaald moest worden.

Zijn de digitale systemen zo verschrikkelijk veel duurder dan ieder dorp een met personeel bezet filiaal?

[Het.Draakje]

Dat waren de tijden dat ze een marge hadden van meerdere procenten tussen opgenomen en uitgegeven geld. Die marge is (mede door de lage rente-tarieven) grotendeels verdwenen. Ook de kapitaaleisen zijn verzwaard en provisie's staan onder druk.

Ze mogen dan wel uit zicht zijn maar bij een bank werken al gauw een paar duizend mensen in de IT. (En die verdienen een flink pak meer dan een balie-medewerker op een bijkantoor). Vergeet ook even niet de huur (of koopprijs) van een bankfiliaal. Je kan beter één kantoor hebben voor 1000 man dan 200 kantoren van 5 man.

[Somoghi]

Geld uitlenen levert de bank minder op, tuurlijk, maar er wordt ook veel minder of geen rente uitgekeerd. Uiteraard werken in de IT mensen en moet de serverruimte betaald worden, met servers etc. Maar ik kan me niet aan de indruk onttrekken dat banken minder uitgeven en meer in de zak houden.
Wanneer gaan we negatieve rente krijgen?

[Tc99m]

Je bank betaalt de rente niet uit de (eventuele) operationele winst. Kapitaal van klanten en operationele kosten/baten zijn in principe gescheiden stromen.

De rente bij banken is laag of negatief, omdat de rente bij de ECB negatief is. Daar kan de bank niks aan doen, het is (helaas) inherent aan hoe het product "banksparen" werkt.

Als je meer rendement wil, helpt jouw bank je daar graag bij, maar dan loop je ook meer risico, bijv. met beleggingsproducten. De mogelijke winsten die je dan maakt, staan ook dan los van de winst van de bank zelf. De bank verdient dan via de commissie die je moet betalen.

[Het.Draakje]

Negatieve rente bestaat al.

ABN Amro:

Negatieve rente
Uitleg over wanneer negatieve rente voor u geldt

Vanaf 1 april 2020 geldt voor u negatieve rente als u op al uw betaal- en spaarrekening opgeteld meer dan € 2.500.000 heeft staan. Hieronder leggen we uit hoe dit werkt.

[Harm_H]

Als ik zie hoeveel filialen er gesloten zijn dan hebben ze nog best wel wat geld over om er aan te spenderen.

Of aan steeds zwaardere eisen om een bank te mogen draaien.

Maar ja, de bankwereld en overheden zien het liefst contant geld gisteren nog verdwijnen

Dat doet de consument : jij en ik
Elk jaar betalen we meer digitaal en minder cash.
(bron)

om zo totale controle over de financiën en daarmee mensen te krijgen.

Fantaseer lekker door.

Ps. Nu we minder religieus zijn kunnen we ons eigen ongeluk niet meer toewijzen aan de 'duivel' dus ik zie mensen vervangers zoeken onder het mom van 'speciale elite'/bankenwereld/zij.

[Reactie gewijzigd door Harm_H op 23 juli 2024 06:06]

[ToolBee]

Intussen verdwijnen hier in de de stad de pin-automaten erg rap!

o.t. Ik heb ook wel eens over zoiets staan mijmeren als ik een pin-automaat zag booten in windows XP...

[Anoniem: 217535]

Windows XP heb ik nooit gezien. Wel NT 4.0...

[ToolBee]

We hoorden zelfs het opstartmuziekje!

[Jimster]

In Nederland is dit eerder ook gedaan
; https://www.ad.nl/nieuws/...g-met-laptop-br~a3d5a9ee/
https://www.rijnmond.nl/n...-geldautomaat-Puttershoek
https://www.gelderlander....-in-puttershoek~ae418ef9/

[Reactie gewijzigd door Jimster op 23 juli 2024 06:06]

[Christoxz]

Toevallig gister een podcast beluisterd van Darknet Diaries over ATM hacking.
https://open.spotify.com/...si=ukUxJeGbQb6Yp_MlOB5HuA

Zeer interessant en het luisteren waard!
Volgens sommige reacties hier wordt daar de zelfde methode in uitgelegd!
Er wordt ook een Nederland geïnterviewd die werkzaam was bij Kasperky. Hij heeft twee soort gelijken situaties meegemaakt.

[Reactie gewijzigd door Christoxz op 23 juli 2024 06:06]

[jeroen3]

In 2010 op Black Hat toonde Barnaby Jack al dat dit mogelijk was. Stukje hacker geschiedenis.

https://youtu.be/Ss_RWctTARU

[johnkeates]

De DEF CON versie is ook leuk (A/V soms wat minder): https://www.youtube.com/watch?v=FkteGFfvwJ0

Recente herhaling van het concept (andere presentatie): https://www.youtube.com/watch?v=ThPJrPf7O2s