盡管 ATM 是在旅途中從銀行賬戶中取錢(qián)的唯一方式之一，但多年來(lái)，眾所周知，ATM 存在著一連串的安全問(wèn)題。即使是現(xiàn)在，也沒(méi)有什么能阻止黑客在 ATM 上放置刷卡器，因?yàn)榇蠖鄶?shù)人永遠(yuǎn)不會(huì)注意到它的存在。當(dāng)然，這些年來(lái)也發(fā)生過(guò)許多比這更復(fù)雜的其他攻擊，但總的來(lái)說(shuō)，您在使用 ATM 時(shí)應(yīng)該始終小心。現(xiàn)在有一種破解 ATM 的新方法，它只需要一部帶有 NFC 的智能手機(jī)。

正如Wired報(bào)道的那樣，Josep Rodriguez是 IOActive 的研究員和顧問(wèn)，IOActive 是一家位于華盛頓州西雅圖的安全公司，去年他一直在尋找用于 ATM 和銷(xiāo)售點(diǎn)系統(tǒng)的 NFC 讀卡器的漏洞。世界各地的許多 ATM 機(jī)都允許您點(diǎn)擊借記卡或信用卡，然后輸入您的 PIN 碼并提取現(xiàn)金，而不是要求您將其插入 ATM 機(jī)本身。雖然它更方便，但它也解決了讀卡器上方存在物理讀卡器的問(wèn)題。在這一點(diǎn)上，銷(xiāo)售點(diǎn)系統(tǒng)上的非接觸式支付也無(wú)處不在。

Rodriquez 開(kāi)發(fā)了一個(gè) Android 應(yīng)用程序，讓他的手機(jī)能夠模仿信用卡通信并利用 NFC 系統(tǒng)固件中的缺陷。在 NFC 閱讀器上揮動(dòng)手機(jī)，他可以將多個(gè)漏洞鏈接在一起，使銷(xiāo)售點(diǎn)設(shè)備崩潰，入侵它們以收集和傳輸卡數(shù)據(jù)，改變交易價(jià)值，甚至用勒索軟件消息鎖定設(shè)備。

此外，羅德里格斯說(shuō)他甚至可以強(qiáng)迫至少一個(gè)未命名品牌的 ATM 分配現(xiàn)金，盡管它只能與他在 ATM 軟件中發(fā)現(xiàn)的錯(cuò)誤結(jié)合使用。這被稱為“累積獎(jiǎng)金”，多年來(lái)，分子通過(guò)多種方式嘗試使用 ATM 機(jī)竊取現(xiàn)金。由于與 ATM 供應(yīng)商簽訂了保密協(xié)議，他拒絕具體說(shuō)明品牌或方法。

“例如，您可以修改固件并將價(jià)格更改為 1 美元，即使屏幕顯示您要支付 50 美元。您可以使設(shè)備無(wú)用，或安裝某種勒索軟件。這里有很多可能性，”羅德里格斯在談到他發(fā)現(xiàn)的銷(xiāo)售點(diǎn)攻擊時(shí)說(shuō)。“如果你將攻擊鏈接起來(lái)，并向 ATM 的計(jì)算機(jī)發(fā)送一個(gè)特殊的有效載荷，你就可以在 ATM 上中獎(jiǎng)——就像提現(xiàn)一樣，只需點(diǎn)擊你的手機(jī)。”

受影響的供應(yīng)商包括 ID Tech、Ingenico、Verifone、Crane Payment Innovations、BBPOS、Nexgo 和一家未具名的 ATM 供應(yīng)商，所有這些供應(yīng)商都在 7 個(gè)月到一年前收到警報(bào)。但是，大多數(shù)銷(xiāo)售點(diǎn)系統(tǒng)不接收或很少接收軟件更新，而且其中許多系統(tǒng)可能需要物理訪問(wèn)才能這樣做。因此，他們中的許多人很可能仍然很脆弱。“對(duì)數(shù)十萬(wàn)臺(tái)自動(dòng)取款機(jī)進(jìn)行物理修補(bǔ)，這需要很多時(shí)間，”羅德里格斯說(shuō)。

為了證明這些漏洞，羅德里格斯與Wired分享了一段視頻， 顯示他在馬德里的 ATM 的 NFC 讀取器上揮動(dòng)智能手機(jī)，導(dǎo)致機(jī)器顯示錯(cuò)誤消息。他沒(méi)有展示累積獎(jiǎng)金攻擊，因?yàn)樗荒茉谧鳛?IOActive 安全咨詢的一部分獲得的機(jī)器上合法地測(cè)試它，這將違反他們的保密協(xié)議。羅德里格斯要求《 連線》雜志不要發(fā)布視頻，以免承擔(dān)法律責(zé)任。