自动柜员机(ATM)就是静立的钱箱，而且身在银行保险库重重防卫之外，传统大盗和新兴黑客都认为这是个完美的攻击目标。尤其是在发展中国家，ATM往往缺乏基本的网络安全预防措施，运行着老旧过时的操作系统，身份验证要求也很简单。过去几年里罪犯在从ATM捞钱上可谓奇招迭出精彩纷呈，而且大多还很成功。

ATM的主要的攻击方法包括：

插入信息刮取器：放入刷卡槽的物理设备，可以捕获被刷卡片的信息。

远程网络攻击：使用ATMitch等恶意软件控制ATM服务器提取现金。

直接恶意软件攻击：亲至ATM跟前部署Ploutus-D之类恶意软件变种。

2018年至少出现了两类ATM安全新威胁：以其高速、有效和省力而闻名的“中大奖(Jackpotting)”攻击;以及轻松盗取芯片磁条复合卡数据的“垫片(Shimming)”攻击。

Jackpotting

诱骗ATM吐钱的方法多种多样，但该新变种在2016年左右才在欧洲首次出现，到2018年就出现了大约十来起攻击案例。该方法需在ATM的密码输入键盘旁边钻个小洞，塞进线缆连上笔记本电脑，然后给ATM发指令吐出钞票。卡巴斯基实验室的研究人员用价值15美金的设备就重现了该攻击，连笔记本电脑都不用，一台简单的微电脑就行。

该攻击得以成功执行是因为很多ATM的加密和身份验证要求都极其有限，攻击者一旦能访问这些特定部件就能获取机器的完整控制权。此技术的危害在于，操控吐钱仅需几秒，清空一台ATM也只是几分钟的事。Jackpotting在发达国家很难实施，因为这些地方的警力响应更快，但该技术的速度优势令其无论在哪个国家都相当有利可图。幸运的是，此类攻击不影响消费者，只是金融机构会大感头痛。

Shimming：信息刮取

如前所述，信息刮取(Skimming)是往ATM读卡器里插入一个装置来盗取被刷卡片数据。垫片(Shimming)则是该攻击的升级版，往ATM或销售终端的读卡器中塞入纸片般薄的插入物就能偷到芯片磁条复合卡的数据。

因为所涉技术，此类攻击的成本比Jackpotting要高，但由于实施简单，此类攻击尤其危险。数据小偷们所要做的仅仅是在机器前逗留几秒钟，而且一旦部署就很难被发现。最多就是插卡时感觉更紧更难塞入了才有可能查看设备，发现该多余的“垫片”。

一旦卡片信息被盗，攻击者便可复制一张新卡。但目前来讲，复制出来的复合卡尚不能用于插入式或接触式付款，也就是纯芯片支付功能不可用。因此，纯芯片卡仍是消费者更加安全的选择。

商家该如何保护ATM?

ATM安全现状远称不上最佳，但ATM特殊的安全挑战又让做出改善十分困难。尽管如此，仍有长期或短期内让这些攻击更难以实施的机会。

物理安全做好就能防住大部分ATM攻击，因为即便是恶意软件型攻击也是始于对ATM的物理接触的。不过，事情总是说起来容易做起来难，尤其是在发展中国家和乡村。理论上ATM可以设计成一旦有人篡改就完全关闭，但制造商是不太可能这么做的，因为这样太容易触发误报而让机器不可用了。

想获得更好的数字安全，ATM制造商应在机器的软件中更多地运用加密技术，要求更多身份验证措施，禁用闲置端口，并创建授权进程白名单，一旦出现未授权进程就自动触发警报。

业界已经出现了一些从长期看能让ATM更加安全的技术发展。很多ATM公司正完全摒弃 Windows XP，2019年1月便是完全迁移到 Windows 7 或 10 的截止期。同时，125家ATM公司组成的联盟正在开发自己的ATM软件标准，旨在彻底脱离Windows。然而，这需要时间，所以升级操作系统是重要的过渡步骤。

还有些潜在安全升级需要牺牲一定的便利性，所以可能不会马上实现。比如说，一定数额以上的取现或交易如果要求双因子身份验证就能很大程度上削减复制卡的价值，但消费者愿意忍受这种不便吗?

消费者该如何保护自身?

为避免各类支付卡信息被盗，请尽量使用接触式支付或移动支付，比如 Apple Pay、微信支付等。这些支付方式不容易造成支付卡被复制，因而更加安全。使用ATM时尽量找银行内部的机器，或者在照明充分、熙熙攘攘，窃贼没办法不受干扰地动手脚的地方。如果不得不使用你觉得可能被篡改的ATM，先检查有没有什么异常，比如机器表面的刮痕、密码输入键盘周围的小变动。为防止垫片攻击，插入卡片时感觉一下有没有异常的阻碍感。最后，经常查看交易记录，及时发现非授权支付。

【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

【编辑推荐】

如何阻止采用社会工程学伎俩的网络攻击? 看人工智能+机器学习出绝招!

网络攻击新载体：API

从物理到心理 从经济到声誉：网络攻击的57个负面影响

为什么检测网络攻击需耗时数个月

Akamai：网络攻击的防御需要边缘技术来弥补