Банкомат Сбербанка выдает деньги по мобильному телефону — безопасно ли это

С чего все началось

Мысли о том, что неплохо бы постепенно переводить процессы оплаты на бесконтакт, пришли к нам еще во время первого фестиваля Alfa Future People. Тогда эта затея хорошо укладывалась в концепцию о том, что на территории фестиваля не должно быть наличных денег. Расплачиваться предлагалось с помощью браслета.

Гость фестиваля на входе получал браслет и привязанную к нему карту (MasterCard). В браслет была встроена смарт-карта, которая и позволяла расплачиваться касанием на торговых точках фестиваля. Таким образом получался и пропуск на фестиваль, и кошелек.

Это был 2021-й, и затем возможность вносить или снимать наличные в банкомате была распространена с браслетов на наши карты MasterCard PayPass, после чего доработали и VISA.

Новый виток развития платежей касанием был задан, когда к делу активно подключились вендоры. Apple 9 сентября 2021-го представила Apple Pay, который не только доказал свою состоятельность, но и задал очередной тренд. Samsung решил не отставать, в результате чего мир увидел Samsung Pay, а сейчас в РФ работает и Android Pay.

Пользователи, оценившие удобство такой оплаты на кассах, не могли не начать задавать вопросы о возможности взаимодействия смартфона и банкомата.

Что это такое?

Но речь идёт не о Bluetooth, которая имеет существенное отличие. NFC (от англ. «near field communication» — коммуникация ближнего поля) — новый способ беспроводной передачи данных. Интересен он тем, что транзакция безналичных расчётов осуществляется без использования чипа и магнитной ленты на пластиковой карте.

Бесконтактные банкоматы появились сравнительно недавно, а вот POS-терминалы уже стали привычным звеном между клиентами и продавцами услуг и товаров. Многие знакомы с безналичной оплатой, которая есть практически во всех крупных торговых сетях, но не все замечали маленький значок на терминале в виде точки испускающей волны.

Безопасно ли это

Здесь:

• идет подтверждение любой транзакции на любую сумму, то есть уже нет возможности использовать 1 000 рублей без ПИН-кода;
• теперь на заблокированном телефоне NFC-модуль неактивен и считать информацию с него невозможно, как и совершить несанкционированное списание.

Бесконтактный съем наличных в банкомате:

Где можно попробовать в действии

На начало июля в Москве у нас пока установлено 20 таких терминалов, по России суммарно – 300. Приоритет в установке отдается отделениям Альфа-Банка, но банкоматы ставятся и в бизнес-центрах.

Для того чтобы найти такой банкомат на карте, мы сделали дополнительный фильтр на сайте. В скором времени он должен появиться и в мобильных приложениях.

Эти банкоматы будут выделяться визуально с помощью специальных наклеек, также будет заметно, что под прорезью для карты установлен ридер.

Здесь не обходится без курьезов, потому что люди привыкают ко внешнему виду банкоматов, и начинают что-то подозревать, если вдруг на их любимом аппарате вдруг появляется какая-то дополнительная деталь. Будь это ридер или антискиммер – для пользователя это все равно что-то новое, а значит – подозрительное.

Нам уже звонили пару раз по поводу того, что «на банкомате кто-то установил какую-то странную фигню, которая сейчас точно снимет у деньги вообще со всех моих карт». На самом деле, это даже хорошо, что пользователи проявляют бдительность и звонят нам, потому что случаи бывают разные.

К концу 2021-го мы планируем довести число таких банкоматов до 700. Сама перестройка банкоматной сети проводится двумя способами – это и установка новейших моделей банкоматов, и апгрейд текущих (соответствующий софт ридер). При этом в случае апгрейда стоимость такой доработки составляет примерно 5% от цены нового банкомата.

Сейчас с момента официального запуска прошла пара недель, поэтому показать какую-то подробную статистику использования данной функции будет затруднительно, но общие сведения дают понять, что этим начинают пользоваться все активнее. Причем не столько в тестовом режиме «Дай-ка попробую снять тысячу смартфоном», но и на довольно больших суммах – были снятия около 100 000 рублей с использованием Apple Pay. Пока мы склонны считать, что именно этот Pay станет самым популярным у пользователей, но время покажет.

Дополнительные преимущества бесконтактных банкоматов

Любые банкоматы иногда выходят из строя. Неисправный аппарат может принять вашу карту и не выдать обратно. В такой ситуации придется предпринять множество действий, включая звонки в банк, запрос на блокировку карты, потом ее желательный перевыпуск — эксперты не советуют использовать карты, побывавшие в чужих руках. На это уйдет много времени и нервов, плюс перевыпуск может оказаться платным.

Даже при исправном банкомате всегда существует вероятность, что вы неверно введете пин-код или просто забудете в аппарате карту. А вот при бесконтактном снятии наличных ваша карта находится в полной безопасности. Вы ее точно не потеряете и не оставите в картоприемнике.

Использование бесконтактных банкоматов еще и продлевает жизнь карты. Ведь в этом случае не стирается и не царапается лента карточки, которая контачит с картоприемником. А значит, ей не грозит преждевременное размагничивание с выходом из строя.

История из жизни

При это на телефоне изменился метод авторизации, который до этого предполагал ввод пароля. Чтобы не думать долго он установил на телефоне первый пришедший на ум ПИН-код и попробовал вновь, но банкомат отказался слушаться, а вот ПИН-код карты принимал без проблем.

И это логично, ведь это устройство от банка, у которого все алгоритмы подведены к тому, чтобы использовать коды, касающиеся продуктов банка, а не телефонов, информацию с которых они не получают.

Не надо пользоваться пластиком, есть телефон, который решит все проблемы:

Как использовать услугу

Итак, после разблокировки телефона в любой удобный способ у пользователя банкомат запросит ПИН-код.

Важно: помните ПИН-код требуется от той карты, с которой будет проводиться операция, то есть если в мобильном банкинге подключено несколько карт, и снятие денег предстоит с 2-х, важно указать коды от обеих.

Если же указана только одна карта в качестве основной, что имеется у большинства пользователей, то для снятия ввести нужно данные только от нее.

Как отключить бесконтактное снятие средств

При желании вы можете просто отключить в настройках своего телефона обеспечивающий выполнение бесконтактных операций модуль NFC.

Как пользоваться?

Как пользоваться бесконтактной картой «Сбербанка» в банкомате? Просто приложите карту к специальному ридеру на банкомате с символом «PayPass». Если вы проводите мелкую оплату до 1000 руб. ПИН-код вообще не потребуется. Также вы можете установить ещё меньший лимит на транзакции без ПИН-кода, например, 100 руб.

Как снимать средства

Инструкция по снятию средств крайне проста, если уже все ясно с ПИН-кодом:

Важно: в данном случае весь процесс займет несколько больше времени чем с картой.

Как снять деньги в банкомате сбера, если с собой нет ни карты, ни телефона с nfc

Какие карты поддерживает

В России, как правило, технологии внедряют немного позже, поэтому у нас первые бесконтактные карты были выпущены только в 2008 г., но с 2021 многие российские банки уже практически полностью перешли на выпуск карт с NFC-чипом. В Москве и области используются беспроводные карты новой национальной платёжной системы «Мир» для оплаты метро и социальная «Школьная» карта, включающая оплату и проезда, и питания, и доступ в учебные учреждения.

Банкоматы с PayPass работали сначала только с клиентами MasterCard, потому что первые бесконтактные карты не поддерживались системой Visa. Бесконтакнтые банковские карты «Сбербанк» выпускаются в двух платёжных системах: «Visa payWave» и «MasterCard PayPass».

Сегодня существует множество различных NFC-систем, которые позволяют пользоваться в магазинах и банкоматах даже электронными кошельками. Они используют мобильные приложения на смартфонах или любых гаджетах поддерживающих электронные денежные системы:

• Yandex Wallet;
• Qiwi Wallet;
• ApplePay;
• GooglePay;
• SamsungPay.

Использование мобильных NFC-систем пока возможно не во всех бесконтактных банкоматах, но технология очень активно внедряется и со временем будет применяться массово, благодаря быстрому развитию технологий. Мода на hi-tech новинки захватывает всё большую долю рынка.

Какие отличия в снятии средств через карту и телефон

В данном случае существует несколько неоспоримых плюсов:

Среди минусов – это разряженный телефон и еще не все банкоматы столь оборудованы умными модулями.

Насколько безопасно бесконтактное снятие средств в банкоматах

По словам руководителя подразделения практического анализа защищенности одной из компаний сферы информационной безопасности Луки Сафонова, применяемая в банкоматах бесконтактная технология авторизации на сегодня является совершенно безопасной.

Эксперт пояснил, что такая авторизация безопаснее используемых на стандартных банкоматах механизмов с выносными клавиатурами и картоприемниками. Именно на последний вариант (наиболее распространенный на рынке) и направлены основные уловки мошенников, которые задействуют для обмана банковской техники различные скиммеры, шиммеры и др. устройства.

С целью получения конфиденциальных данных с чужих пластиковых карт злоумышленники ставят на банкоматы специальное шпионское оборудование. Эти устройства позволяют копировать информацию с карты, параллельно фиксируя вводимый пользователем пин-код. Считыватель же бесконтактных карт защищен от установки подобных шпионских «аксессуаров». Поэтому уровень безопасности при использовании такого способа только повышается.

Сафонов поясняет, что для защиты бесконтактных транзакций в банкоматах применяется специальный стандарт, фактически исключающий вероятность злонамеренного вмешательства извне. Использование смартфона в такой ситуации повышает уровень безопасности, поскольку практически все аппараты защищены специальными алгоритмами: паролем, сканером отпечатка, функцией Face ID. Это обеспечивает дополнительную защиту данных банковской карты.

Но и пользователю не стоит забывать о безопасности. Перед снятием средств необходимо убедиться, что перед вами — официальный банкомат. Ведь преступники могут использовать копии таких аппаратов, специально предназначенные для проведения мошеннических операций.

Нестандартные способы

Наконец, парочка нестандартных способов снятия наличных без карты, но с телефоном в кармане.

Способ первый — обратиться к вызывающему доверие прохожему. Например, человеку, который стоит в очереди в банкомат вашего банка. Переведите ему нужную сумму со своей карты, а он заодно к своим деньгам снимет и ваши. Риски в данном случае вполне понятны. Доверять конкретному прохожему или нет — решать вам.

Способ второй, похожий — попросить помощь у продавца в магазине. Если вы собираетесь что-то купить, но забыли карту, попробуйте договориться с продавцом. Вы переведете средства на его карту, а он оплатит с нее вашу покупку.

Но, разумеется, лучше в подобную ситуацию не попадать. Заведите к своему телефону чехол с кармашком, и храните карту именно в нем. Так вы точно не забудете карту, взяв с собой на прогулку смартфон.

Переговоры

Мы пообщались с ребятами из Apple и объяснили им, что и как хотим сделать. Идея была воспринята с энтузиазмом.

На Apple Pay обкатывались все доработки процессинга, поэтому после выхода Samsung Pay и Android Pay каких-то технических сложностей не возникало, и по сути все подключение новой системы к банкоматам зависело только от успешности переговоров с вендором.

Когда ты делаешь что-то с расчетом на то, чтобы запуститься первым в мире, скорость работы будет играть довольно важную роль. В представлении большинства все процессы, связанные с банковской деятельностью и внедрением чего-то нового, должны быть довольно неторопливыми – тут и сама специфика банковской сферы, и присущая ей бюрократия, и множество других факторов, каждый из которых так или иначе тормозит ход работы.

В нашем же случае все происходило так быстро, что мы сначала что-то делали, внедряли и тестировали, а уже потом писали всю необходимую документацию и вносили возможные корректировки от вендора.

Здесь надо отдать должное нашему подрядчику, БПЦ Банковские технологии, который делал свою часть работы с максимальной оперативностью.

В итоге на все про все в случае с подключением Apple Pay у нас ушел месяц. В апреле 2021-го мы едем в Apple, а уже в начале мая проводим первые живые тесты на банкоматах.

По старинке

Если банковской карты с собой нет, а перечисленные выше способы не подходят, можно действовать по старинке. Необходим лишь паспорт.

Зайдите в отделение своего банка и попросите выдать вам нужную сумму наличных со своего счета. Банковская карта привязана к нему, ничто не мешает обналичить деньги старым дедовским способом.

Конечно, это отнимет дополнительное время. Плюс условия обслуживания карты могут подразумевать наличие комиссии за такой способ обналичивания средств.

С помощью qr-кода

Современные технологии позволяют использовать альтернативный вариант бесконтактного снятия средств в банкомате, даже если ваш смартфон не оснащен модулем NFC. Для этого потребуется найти банкомат, оборудованный сканером для считывания кода QR. Затем понадобится зайти на смартфоне в банковское мобильное приложение и запросить этот код.

С помощью смартфона с бесконтактной оплатой

На рынке сегодня много смартфонов, оснащенных функционалом бесконтактной оплаты. В зависимости от производителя эта функция может иметь разные названия со словом «Pay» (например, Samsung Pay, Android Pay, Apple Pay и др).

Для осуществления бесконтактных операций в сотовых телефонах используется отдельный модуль — NFC. Именно этот блок позволяет оплачивать со смартфона покупки на кассах супермаркетов. С его помощью можно также снимать средства в банкоматах без использования пластиковой карты.

Чтобы использовать этот функционал, необходимо сначала зайти в смартфоне в приложение Wallet (т.е. кошелек). Здесь потребуется добавить в список карту, поддерживающую бесконтактную оплату. После этого можно посмотреть на сайте своего банка (как вариант — в приложении «мобильный банк»), где расположены доступные банкоматы с возможностью бесконтактного снятия наличности.

Непосредственно перед снятием денег в банкомате нужно еще раз зайти в приложение Wallet на смартфоне. Ряд моделей позволяют использовать для оплаты функционал быстрого доступа. В таком случае потребуется нажать пару определенных клавиш, после чего приложение «кошелек» активируется.

Телефоном по банкомату: снять деньги можно будет с помощью смартфона

Технология

Операция происходит мгновенно при помощи высокочастотного соединения небольшого радиуса действия между RFID-чипом и принимающим RFID-модулем. Для некоторых устройств нужно сначала вручную активировать беспроводной модуль, другие могут быть запрограммированы автоматически (пассивные NFC-метки в виде брелков, стикеров и т. п.).

Следует поднести два устройства с беспроводным интерфейсом NFC друг к другу на расстоянии 5-10 см; операция займёт не более 5 секунд, в отличие от bluetooth-соединения,которое имеет гораздо более широкий радиус электромагнитного излучения и длительное время передачи данных. Наличие беспроводного NFC-модуля указано специальным обозначением, который является стандартным для всех.

Пользоваться технологий NFC могут владельцы:

1. Беспроводных карт международной системы «Visa» или «MasterCard»(для оплаты через беспроводные банкоматы и терминалы).
2. Беспроводных сим-карт МТС, Билайн, Мегафон (для оплаты с помощью телефона).
3. Пассивные метки в виде NFC-стикеров или брелков (открывают домофон, регулируют настройки смартфона, например, при поднесении к стикеру на телефоне автоматически отключается звук).
4. Современных гаджетов с встроенным беспроводным модулем или внешней NFC-антенной.

Новый способ беспроводной передачи данных является самым безопасным на сегодняшний день, т. к. исключает возможность кражи ваших паролей и личной информации благодаря очень быстрой скорости соединения и малому радиусу действия rfid-антенны.

Бесконтактное снятие денег в банкомате не требует ввода ПИН-кода (в России только транзакции до 1000 руб.), а значит предотвращает возможность использования мошенниками шпионских программ или социальной инженерии (попросту — подглядывания). И экономит время.

После совершения транзакции бесконтактный банкомат «Сбербанк» автоматически разрывает соединение с RFID-антенной, что предотвращает возможность повторного снятия денег. Кроме того, карта не застрянет в терминале, не повредится её магнитная лента или чип, что значительно увеличивает срок службы.

Уязвимости nfc позволяют взломать банкомат, просто взмахнув смартфоном

Исследователь безопасности обнаружил ряд ошибок, позволяющих взламывать банкоматы и широкий спектр терминалов продаж по-новому — взмахом телефона над устройством для чтения бесконтактных банковских карт. К старту курса Этичный хакер делимся переводом статьи о возможностях, которые открываются при эксплуатации обнаруженных уязвимостей, о том, что делал автор, чтобы обнаружить их и о том, как отреагировали производители банкоматов.

---

Иосип Родригес, Исследователь и консультант по безопасности охранной фирмы IOActive провёл последний год в поисках уязвимости в так называемых чипах коммуникации ближнего поля (NFC), работающих в миллионах банкоматов и терминалов продаж по всему миру. С NFC для проведения платежа или вывода денег из банкомата не нужно вставлять карту — достаточно провести её над считывателем. Технология работает в бесчисленных розничных магазинах и ресторанах, торговых автоматах, паркоматах и такси по всему миру.

Родригес написал приложение для Android, позволяющее смартфону имитировать радиосвязь банковских карт и эксплуатировать недостатки прошивки систем NFC. Одним взмахом смартфона он может вывести из строя терминалы продаж, взломать их для сбора и передачи данных банковских карт, незаметно изменить стоимость транзакций и даже заблокировать устройство, отобразив сообщение программы-вымогателя.

Родригес утверждает, что он даже может заставить банкоматы, по крайней мере одной марки, выдавать наличные, хотя такой «джекпоттинг» работает только в сочетании с другими ошибками, которые, по его словам, он нашёл в программном обеспечении банкоматов. Из-за соглашений о неразглашении с поставщиками банкоматов Родригес отказался уточнять или раскрывать эти ошибки.

«Можно модифицировать прошивку и изменить цену, например на один доллар, пока на экране отображается другая цена, вывести устройство из строя или установить своего рода программу-вымогатель — вариантов много», — рассказывает Родригес об обнаруженных им уязвимостях.

«Выстроив цепочку атак, а также отправив специальную полезную нагрузку на компьютер банкомата, вы сможете снять деньги с банкомата, как джекпот, просто проведя телефоном над NFC-считывателем».

Исследователь рассказывает, что с июня по декабрь 2020 года он предупреждал о своих находках пострадавших поставщиков, включая ID Tech, Ingenico, Verifone, Crane Payment Innovations, BBPOS, Nexgo, а также неназванного поставщика банкоматов.

Тем не менее исследователь также предупреждает о том, что затронуто огромное количество систем, а также о факте, что многие терминалы и банкоматы обновляют ПО нерегулярно, во многих случаях требуя физического доступа для обновления. Это означает, что многие устройства, вероятно, останутся уязвимыми. «Физическое исправление стольких сотен тысяч банкоматов потребует много времени», — говорит Родригес.

В качестве демонстрации таких уязвимостей Родригес поделился с WIRED видео, где он проводит смартфон над NFC-считывателем банкомата на улице его дома, заставляя банкомат вывести сообщение об ошибке. Считывающие устройство выходит из строя и больше не читает его карту, когда исследователь прикладывает её к банкомату.

Он также не предоставил видеодемонстрацию атаки джекпоттинга, поскольку, по его словам, мог легально протестировать только устройства, полученные в рамках консультаций IOActive по вопросам безопасности для пострадавшего поставщика банкоматов, с которым IOActive подписала соглашение о неразглашении.

«Полученные результаты — отличное исследование уязвимости работающего на встраиваемых устройствах программного обеспечения», — говорит Карстен Нол, основатель фирмы по безопасности SRLabs и известный взломщик прошивок, который проанализировал работу Родригеса.

Однако Нол указывает на несколько недостатков, которые делают метод непрактичным в реальных кражах. Взломанный считыватель NFC может украсть только данные карты с магнитной полосой, но не PIN-код жертвы или данные с чипов EMV. И тот факт, что трюк с обналичиванием денег из банкомата потребует дополнительной уязвимости в коде конкретного банкомата, — немаловажная оговорка, утверждает Нол.

Вместе с тем исследователи в области безопасности, такие как покойный хакер IOActive Барнаби Джек и команда Red Balloon Security, уже много лет вскрывают уязвимости банкоматов и даже показали, что хакеры могут удалённо запускать джекпоттинг ATM. Генеральный директор и главный научный сотрудник Red Balloon Анг Куи рассказывает, что впечатлён выводами Родригеса и, несмотря на то что IOActive утаила некоторые детали своей атаки, не сомневается, что взлом считывателя NFC может привести к выдаче наличных во многих современных банкоматах.

«Я думаю, очень правдоподобно, что как только вы получите возможность выполнения кода на любом из этих устройств, то сможете добраться до главного контроллера: он полон уязвимостей, которые остаются в системе более десяти лет», — говорит Куи. «Оттуда, — добавляет он, — абсолютно точно возможно контролировать кассетный диспенсер, который хранит и выдаёт наличные деньги пользователям».

Родригес, который провёл годы, тестируя безопасность банкоматов в качестве консультанта, рассказывает, что год назад начал изучать вопрос о том, могут ли бесконтактные считыватели карт банкоматов, чаще всего продаваемые компанией ID Tech, специализирующейся на платёжных технологиях, — служить средством их взлома. Он начал покупать считыватели NFC и терминалы продаж на eBay и вскоре обнаружил, что многие из них страдают от одного и того же недостатка безопасности: они не проверяют размер пакета данных, отправляемого через NFC с банковской карты на считыватель, этот пакет называют пакетом данных протокола приложения или APDU.

Чтобы отправить APDU в сотни раз больше обычного и вызвать переполнение буфера, Родригес написал приложения для Android с NFC. Уязвимость переполнения буфера существует уже десятилетиями, она позволяет хакеру повредить память целевого устройства и запустить свой код.

Когда WIRED связались с пострадавшими компаниями, ID Tech, BBPOS и Nexgo не ответили на просьбы о комментариях, также отказалась от комментариев Ассоциация индустрии банкоматов. Компания Ingenico в своём заявлении сообщила, что благодаря принятым мерам безопасности способ переполнения буфера Родригеса мог только вывести из строя её устройства, но не позволял выполнить код на них. Однако, «учитывая неудобства и последствия для наших клиентов», компания всё равно выпустила исправление.

Родригес сомневается, что меры Ingenico действительно предотвратят выполнение кода, но он не написал доказательство концепции для демонстрации.

Компания Verifone, в свою очередь, заявила, что нашла и устранила уязвимости терминалов, на которые Родригес обратил внимание в 2021 году, задолго до того, как он сообщил о них. Но Родригес утверждает, что это лишь демонстрирует непоследовательность исправления в устройствах компании; он говорит, что протестировал свои методы взлома с помощью NFC на устройстве Verifone в ресторане в прошлом году и обнаружил, что оно по-прежнему уязвимо.

Многие находки исследователя оставались в тайне целый год, в ближайшие недели Родригес планирует поделиться техническими деталями уязвимостей на вебинаре, отчасти, чтобы подтолкнуть клиентов пострадавших производителей внедрить выпущенные исправления.

Кроме того, Родригес хочет привлечь внимание к плачевному состоянию безопасности встраиваемых устройств в целом. Он был потрясён, обнаружив, что такие простые уязвимости, как переполнение буфера, сохранились во многих широко используемых устройствах — тех, которые работают с наличными и конфиденциальной финансовой информацией.

«Многие годы эти уязвимости присутствуют в прошивке устройств, с которыми мы каждый день сталкиваемся при работе с банковским картами, с нашими деньгами, — говорит он. — Они должны быть защищены».

Из этого материала становится ясно, что даже системы, которые непосвящённому человеку кажутся самыми надёжными, могут подводить из-за недостатков, известных уже десятки лет. Если вам хочется самому находить такие уязвимости, то научиться всему можно на нашем курс для пентестеров со специальной скидкой по промокоду HABR.

Узнайте, как прокачаться и в других специальностях или освоить их с нуля:

Другие профессии и курсы

Заключение

Использование подобного варианта, как видно при применении последних технологий, крайне простое и совершенно безопасное дело.

https://www.youtube.com/watch?v=tsE8-3nGG9s

Оба производителя используют токены, которые не запоминают данные, а шифруют их. А использование банкомата для снятия средств через телефон обеспечивает пользователя возможностью всегда получить необходимые наличные.