En los últimos días se ha conocido la detención de más de 50 sospechosos acusados de robar en cajeros automáticos del Banco Santander explotando un error de software. La realización de estos robos se ha circunscrito a varias ciudades de Estados Unidos, donde varios grupos de criminales utilizaron tarjetas válidas y falsas de crédito y débito precargadas para retirar más dinero del que estaba almacenado en estas tarjetas.

Inicialmente este error del software permaneció en secreto, si bien acabó compartiéndose en varias redes sociales. Esto propició la explotación del error por parte de más grupos criminales y provocó un aumento repentino de retirada de efectivo en cajeros automáticos que hizo que saltaran las alarmas y se realizara una investigación.
El martes de esta semana, todos los cajeros automáticos fueron desactivados para evitar más robos, y en el día de ayer se abrieron de momento sólo para clientes del banco. A raíz de conocerse la noticia, los dos principales fabricantes de cajeros automáticos, Diebold Nixdorf y NCR, han lanzado actualizaciones de software para corregir estos errores. Por un lado, Diebold Nixdorf ha parcheado la vulnerabilidad CVE-2020-9062, la cual afectaba a cajeros automáticos ProCash 2100xe USB ATMs con software Wincor Probase, mientras que NCR ha parcheado la vulnerabilidad CVE-2020-10124 con afectación en cajeros SelfServ con software APTRA XFS.

Ambas vulnerabilidades permitían a un atacante interceptar y modificar mensajes relativos a la cantidad de dinero o valor de la moneda depositada, debido a que los cajeros no cifran ni autentican la integridad de los mensajes entre el cajero y el ordenador central. De esta forma, en un proceso de dos pasos, un atacante podía depositar una suma de dinero, modificando los mensajes en cuanto a la cantidad de este o el valor de la moneda, y posteriormente realizar la extracción del dinero con el valor o cantidad introducido en el mensaje. Ambas compañías han implementado ya actualizaciones del software para proteger las comunicaciones entre el cajero y el ordenador central.

https://www.zdnet.com/article/tens-of-suspects-arrested-for-cashing-out-santander-atms-using-software-glitch/

Saludos.