لم يحتج الأمر إلى بطاقات مصرفية مسروقة، ولا إلى اختراق حسابات عملاء. فكل ما تطلبه الهجوم كان وحدة USB و10 دقائق فقط.
في واحدة من أوسع قضايا الاحتيال التقني في الولايات المتحدة، كشفت هيئة محلفين اتحادية في نبراسكا توجيه اتهامات إلى 31 شخصًا إضافيًا ضمن شبكة يُشتبه بأنها نفذت هجمات منظمة على أجهزة الصراف الآلي، ليرتفع عدد المتهمين إلى 87 شخصًا.
الأسلوب المستخدم يُعرف في عالم الأمن السيبراني باسم «Jackpotting»، وهي تقنية تجبر جهاز الصراف الآلي على قذف الأموال نقدًا استجابةً لأوامر غير مصرح بها، وكأن الجهاز تحول إلى ماكينة توزيع مجانية للنقود.
كيف حدث ذلك؟
أجهزة الصراف ليست سوى حواسيب متخصصة، وغالبًا ما تعمل بأنظمة تشغيل تقليدية مثل ويندوز. وبمجرد الحصول على وصول فعلي إلى مكوناتها الداخلية، يمكن التعامل معها كما يُتعامل مع أي كمبيوتر. ووفقًا للائحة الاتهام، كان أفراد الشبكة يفتحون الغلاف الخارجي للجهاز، ثم يوصلون وحدة تخزين خارجية تحتوي على نسخة معدلة من برمجية خبيثة تُعرف باسم «Ploutus».
هذه البرمجية لا تسرق بيانات بطاقات، بل تتجاوز النظام المصرفي بالكامل، وترسل أوامر مباشرة لوحدة صرف النقد داخل الجهاز.
والنتيجة هي جعل الأموال تتدفق من فتحة الصراف، دون أي بطاقة.
وكشفت التحقيقات أن المجموعات كانت تستطلع مواقع البنوك مسبقًا، وتراقب الكاميرات وأنظمة الإنذار، وتتحرك باستخدام عدة مركبات.
وبعد فتح الجهاز والتأكد من عدم وجود استجابة أمنية، تُثبت البرمجية خلال دقائق. ومن اللافت أن العملية الكاملة (من الفتح إلى الحصول على الأموال) لم تكن تستغرق أكثر من 10 دقائق.
ولزيادة التعقيد، صُممت البرمجية لحذف آثارها بعد التنفيذ، ما جعل اكتشاف الاختراق أكثر صعوبة.
ومن المفارقات أن برمجية «Ploutus» ليست جديدة، إذ ظهرت أول مرة في المكسيك عام 2013، لكنها تطورت بمرور السنوات. وفي بعض النسخ السابقة كان يمكن تفعيلها حتى عبر رسالة نصية تُرسل إلى هاتف مخفي داخل الجهاز. واليوم، تعود هذه التقنية إلى الواجهة في واحدة من أكبر القضايا المرتبطة باختراق أجهزة الصراف في الولايات المتحدة.
ويواجه المتهمون تهمًا تشمل الاحتيال المصرفي وسرقة البنوك وجرائم إلكترونية، وقد تصل العقوبات (في حال الإدانة) إلى مئات السنوات من السجن مجتمعة.
ومع أن لائحة الاتهام لا تعني الإدانة النهائية، فإن القضية تسلط الضوء على حقيقة مقلقة مفادها أن أجهزة الصراف، رغم مظهرها الصلب، قد تكون أضعف مما نتصور إذا وصل إليها الشخص الخطأ.
