Ökning av ATM-jackpotting-skadlig kod utlöser FBI-varning

Banker står inför ett förnyat fysiskt hot när kriminella ändrar sina metoder. FBI varnar för att attacker med ATM-jackpotting-skadlig kod ökar i hela landet. I stället för att stjäla kortuppgifter manipulerar angripare automaterna direkt för att få ut kontanter.

Vad myndigheter har observerat

Utredare registrerade hundratals incidenter under det senaste året. Förlusterna nådde tiotals miljoner dollar när organiserade grupper riktade in sig på fristående och lobbyplacerade bankomater. Angreppen krävde fysisk åtkomst på plats i stället för fjärrintrång via nätverk.

Kriminella bröt sig inte in i bankernas databaser. De riktade i stället in sig på hårdvaran som styr uttagsmekanismen.

Hur attacken fungerar

Metoden bygger på att öppna bankomatens hölje och interagera med interna komponenter. Många maskiner använder fortfarande universella servicenycklar, vilket gör inträdet enklare än väntat.

Efter åtkomst brukar angripare:

• Ansluta externa enheter eller ta ut hårddisken
• Installera skadlig programvara
• Starta om maskinen
• Aktivera kontantutmatningen via fjärrkommando eller knappsats

När bankomaten infekteras tolkar den kommandot som legitim serviceaktivitet och matar ut sedlar.

Skadlig kod i kampanjen

Utredare kopplar de flesta incidenter till skadeprogramsfamiljen Ploutus. Programmet kommunicerar direkt med kontantutmataren via maskinens servicegränssnitt.

Eftersom kommandon kommer inifrån systemet upptäcker övervakningsprogram ofta inte aktiviteten direkt. I många fall töms maskinen innan personal märker intrånget.

Varför kriminella föredrar jackpotting

Metoden kringgår traditionell bedrägeriövervakning. Inga stulna konton syns och inga överföringar sker. Kriminella lämnar platsen med fysiska pengar inom några minuter.

Metoden förenklar också penningtvätt. Kontanter som tas ut på plats lämnar färre spår än digital stöld.

Varningssignaler för operatörer

Säkerhetsteam bör uppmärksamma ovanligt beteende kring automater och interna loggar som visar serviceaktivitet utanför planerade tider.

Vanliga indikatorer:

• Oväntade öppningar av höljet
• Plötsliga omstarter
• Snabb tömning av kontanter
• Okända körbara filer installerade
• Obehöriga interna enheter anslutna

Slutsats

Ökningen av ATM-jackpotting-skadlig kod visar hur cyberbrott nu kombinerar fysiskt intrång med mjukvarumissbruk. Att skydda nätverk räcker inte längre. Finansiella institutioner måste säkra själva maskinerna, begränsa serviceåtkomst och övervaka hårdvaruaktivitet för att stoppa framtida attacker.