Een bepaald type pinautomaat kan via de telefoon zo gemanipuleerd worden dat hij direct geld uitspuugt. Op afstand kan de automaat opgedragen worden zijn waardevolle inhoud prijs te geven

Dat ontdekte Barnaby Jack, computer en netwerkbeveiligingsspecialist bij IOActive. Het gaat om het soort pinautomaten dat terug te vinden is in snackbars, discotheken, supermarkten of hotels. De verplaatsbare apparaten zijn vaak het doelwit van criminelen die het een gemakkelijk doelwit voor skimmen vinden. Soms wordt eenvoudig het hele apparaat achterin een vrachtwagen gegooid.

Volgens Jack is dat allemaal veel te omslachtig. Veel van dergelijke pinautomaten kunnen namelijk op afstand beheerd worden via telefoonverbindingen. Door verbinding te leggen met de machine kan er een aanval gestart worden die de authenticatiesystemen omzeilt.

War dialling
Jack experimenteerde eerst met een paar eigen automaten. Na het omzeilen van de inlogsystemen installeerde hij een zelfgemaakte rootkit die hij Scrooge (vrek) heeft gedoopt. Daarmee wordt de firmware van de machine naar de hand van de aanvaller gezet. Ook ontwikkelde Jack een online management tool waarmee de pinautomaten de opdracht krijgen pinpasgegevens van gebruikers op te slaan.

Criminelen kunnen kwetsbare geldautomaten vinden via een methode die 'war dialling' wordt genoemd. Met software worden dan honderden of duizenden nummers gebeld om te achterhalen welke nummers gekoppeld zijn aan een kwetsbare machine.

Windows CE
De programma's van Jack zijn een proof-of-concept van zijn kraak. Hij wil aantonen hoe kwetsbaar de automaten zijn. De onderzoeker maakte dit bekend tijdens de Black Hat conferentie in Las Vegas. "Het doel van mijn presentatie is een discussie op te starten over hoe dit probleem bestreden dient te worden", zegt hij aldus Computerworld.

"Het is tijd om deze machines te reviseren", aldus Jack. De machines draaien vrijwel allemaal op Windows CE. "De bedrijven die deze automaten maken heten geen Microsoft. Ze hebben niet tien jaar lang voortdurend onder vuur gelegen."

Al lang bekend
Op het podium toonde hij een hack met het programma Jackpot. De geldautomaat begon spontaan geld uit te spugen en als extra bonus speelde machine een muziekje af en toonde het woord 'Jackpot' op het scherm.

Tijdens een tweede demo opende hij een machine met een sleutel die hij via het internet had besteld, opende de automaat, en installeerde zijn eigen firmware. Jack wilde de presentatie vorig jaar al geven, toen werd hem verboden te spreken.