Brutta notizia: Bancomat violabili usando semplicemente uno smartphone. Buona notizia: l’ha scoperto uno dei buoni

C’è una celeberrima scena di Terminator 2 (1991) nella quale il giovane John Connor riesce a farsi dare soldi da un Bancomat semplicemente collegandogli un cavetto e un mini-computer portatile (un Atari Portfolio). È fantascienza, direte voi: finzione cinematografica. Non può essere così facile “hackerare” un Bancomat.

In realtà sì, perlomeno secondo quanto riferisce Wired.com. Alcuni Bancomat dotati di componenti NFC (quelli che consentono di appoggiare la carta di credito invece di inserirla) hanno un difetto che consente un attacco ancora più elegante di quello mostrato al cinema dal regista James Cameron in Terminator 2: basta avvicinare al terminale uno smartphone Android contenente un’app appositamente programmata e diventa possibile mandare in tilt il Bancomat, modificarne il funzionamento in modo che raccolga e trasmetta dati delle carte di credito, alterare il valore delle transazioni e, in almeno un modello, fare quello che in gergo si chiama jackpotting, ossia far erogare al dispositivo una pioggia di banconote.

Ma niente panico: lo ha scoperto uno dei “buoni”, il consulente informatico spagnolo Josep Rodriguez, che per mestiere verifica la sicurezza dei sistemi informatici bancari per conto delle aziende produttrici, che sono già state allertate oltre sette mesi fa. Il problema è stato corretto, anche se alcuni Bancomat possono continuare a manifestarlo se non sono stati aggiornati.

Un attacco così semplice da sembrare finzione scenica è in realtà possibile per via di un difetto elementare e classico: il software che gestisce molti lettori contactless (NFC) non fa alcuna validazione delle dimensioni del pacchetto di dati mandato dalla carta quando viene avvicinata al sensore.

Il software si aspetta che si tratti di una carta di pagamento, che si comporta secondo gli standard, e si fida di quello che la carta gli manda. L’app di Rodriguez, però, manda un pacchetto di dati centinaia di volte più grande del normale e questo genera un classico buffer overflow che permette di prendere il controllo del Bancomat o terminale di pagamento.

Per noi utenti, comunque, il rischio è minimo: le falle scoperte da Rodriguez non consentono di leggere il PIN e o i dati presenti nel chip integrato nella carta e riguardano soltanto le vecchie carte senza chip integrato, raramente usate in Europa. Il disagio è soprattutto per le banche, che devono aggiornare centinaia di migliaia di terminali in tutto il mondo.