Tweet

0

Britse betaalautomaten gekraakt met paperclip

Fabrikanten ontkennen gevaar voor de klant

Onderzoekers aan de uiversiteit van Cambridge zijn erin geslaagd om twee kleine betalingsautomaten te kraken. Met een paperclip en een naald is het al mogelijk om de datacommunicatie te onderscheppen.

Het gaat om de Ingenico i3300 en de Dione Xtreme, de twee populairste betalingstoestellen in Groot-Brittannië. Een korte rondvraag leert dat deze apparaten in ons land niet worden gebruikt.

Volgens de onderzoekers is er geen hoogtechnologische inbraak nodig. Met een ijzerdraadje en een chip om de data op te slaan is de klus geklaard. Beide toestellen hebben wel een mechanisme dat detecteert wanneer ze worden geopend, maar ook dit valt eenvoudig te omzeilen. "De zwakke plekken die we hebben ontdekt zijn veroorzaakt door een reeks ontwerpfouten", zegt onderzoeker Saar Drimer. "Ze kunnen misbruikt worden omdat de Britse banken het systeem onveilig hebben opgesteld. De betaalterminals beveiligen het communicatieproces tussen de kaart en het toestel niet."

Fabrikanten: geen paniek
De universiteit heeft al contact opgenomen met de bedrijven die de terminals maken en distribueren. Volgens hen is er echter geen reden tot paniek. Er zou weinig risico voor de klant zijn en de kraak kan alleen in een testomgeving effectief worden uitgevoerd. Drimer nuanceert die bewering en zegt dat de banken geen verklaring opgeven waarom dit niet op winkeltoestellen kan worden uitgevoerd. De onderzoekers zeggen zelfs dat er al succesvol fraude is gepleegd op soortgelijke manieren. In één geval zou er zo meer dan dertien miljoen euro zijn gestolen.

Ook stemcomputers kwetsbaar
Het kraken van de toestellen heeft niet enkel betrekking op bankveiligheid. Volgens Ross Anderson, professor beveiligingsontwikkelingen in Cambridge, kan het systeem net zo goed worden gebruikt om stemcomputers af te tappen. "Ze lijden aan dezelfde combinatie van domme fouten", aldus de professor. Hij pleit dan ook voor een open evaluatie van dergelijke toestellen.

bron: ZDNet