I lettori contactless di bancomat e POS hanno gravi vulnerabilità: lo rivela un ricercatore ad un anno dalla scoperta

Si solleva la preoccupazione per la sicurezza dei lettori NFC utilizzati in molti sportelli bancomat e sistemi POS di tutto il mondo per abilitare esperienze contactless: secondo quanto riscontrato dal ricercatore di sicurezza Josep Rodriquez di IOActive vi sarebbero infatti alcuni difetti "congeniti" che li rendono vulnerabili ad una serie di problemi, tra i quali la possibilità di essere bloccati da altri dispositivi NFC nelle vicinanze o compromessi per estrarre informazioni dalle carte bancomat e di pagamento. Non solo: le vulnerabilità potrebbero essere sfruttate anche per violare uno sportello bancomat così da indurlo a dispensare denaro in maniera incontrollata in un attacco chiamato in gergo "jackpotting".

Le vulnerabilità sarebbero abbastanza semplici da sfruttare e il ricercatore ha dimostrato che è stato sufficiente avvicinare un semplice smartphone Android (che esegue un'app sviluppata a tale scopo) ad un lettore NFC per bloccarlo ed impedirgli di compiere le normali operazioni con le carte di credito utilizzate successivamente. In un video condiviso con Wired ma che non è stato reso pubblico per accordi di riservatezza Rodriquez mostra uno sportello bancomat di Madrid che mostra un messaggio di errore dopo aver avvicinato al lettore NFC lo smartphone.

Rodriquez ha sottolineato come questi sistemi manchino di robuste fondamenta di sicurezza, rendendosi quindi vulnerabili ad attacchi relativamente semplici. Per esempio in molti casi questi lettori non verificano la quantità di dati che stanno ricevendo e ciò li espone facilmente ad attacchi di tipo "buffer overflow", dove cioè la memoria del dispositivo viene compromessa perché letteralmente "inondata" di troppi dati.

C'è poi un secondo problema: anche una volta individuata un'eventuale vulnerabilità potrebbe non essere così immediato applicare una patch correttiva. Spesso è necessario operare fisicamente su un terminale per applicare un aggiornamento e, in generale, molti dei dispositivi POS e degli sportelli bancomat non è scontato ricevano regolari aggiornamenti di sicurezza che i produttori emettono.

Sfortunatamente gli attacchi di "jackpotting" sono possibili sfruttando altri bug che Rodriquez afferma di aver trovato in alcuni software degli sportelli bancomat e che non può divulgare pubblicamente per via di accordi di riservatezza con i produttori dei terminali.

I riscontri di Rodriguez sono frutto di un lavoro di ricerca e analisi condotto lo scorso anno e che il ricercatore ha inizialmente condiviso in rispetto ai principi di responsible disclosure solamente con i produttori interessati evitando di parlarne pubblicamente per un anno intero. Il ricercatore intende però presentare i dettagli tecnici delle vulnerabilità da lui scoperte in un webinar che sarà organizzato nelle prossime settimane, sia per spingere i clienti dei produttori di dispositivi ad una azione di aggiornamento più incisiva usando le patch emesse dai produttori stessi sia per sensibilizzare il pubblico in generale su quale siano le reali condizioni di sicurezza di dispositivi che quotidianamente vengono utilizzati da miliardi di persone nel mondo per eseguire transazioni.