Sicherheitslücke

Hacker lässt Bankomat Geldscheine spucken

(Bild: twitter.com/designworksblog)

Experten des Sicherheitsspezialisten Rapid7 haben eine Schwachstelle im "Chip and Pin"-System für Zahlungskarten mit einem Prozessorchip gefunden. Als Beweis ließen sie bei einer Demonstration auf der Black-Hat-Konferenz in Las Vegas einen Bankomaten Geldscheine ausspucken.

Der Angriff gliedert sich den Experten zufolge in zwei Teile. Im ersten wird eine Bankomatkasse schnell und unauffällig von außen mit einem kleinen Gerät, dem sogenannten Shimmer, präpariert, das sowohl Chip als auch dazugehörigen PIN-Code ausliest. Im zweiten Teil werden diese gestohlenen Kartendaten mithilfe eines Android-Smartphones heruntergeladen, um dann an jedem Bankomaten Geld abzuheben.

Weiter ins Detail gehen wollte Tod Beardsley von Rapid7 nicht. Die von der Lücke betroffenen Banken und Automatenhersteller seien informiert worden, um die Schwachstelle zu schließen, sagte er der britischen BBC. Dass sein Hack aber funktioniert, demonstrierte er, indem er einen Bankomaten Geldscheine regnen ließ.

In diesem knapp zwölfminütigen Clip erläutert Beardsley, wie der Hack funktioniert.

Zwar könnten die gestohlenen Kartendaten jeweils nur für wenige Minuten genutzt werden, räumt Beardsley ein. Mit 20 oder 30 manipulierten Bankomatkassen erhielten Cyberkriminelle jedoch kontinuierlich neue Kartendaten und hätten genug Zeit, "um Bankomaten Geld ausspucken zu lassen". In einer Viertelstunde ließen sich so bis zu 50.000 Dollar (rund 45.000 Euro) abheben.