Hacker van pinautomaten moet zwijgen

Security by obscurity werkt niet

"This info is on need to know basis. The public doesn't need to know."

Of terwijl als we voorkomen dat het uitlekt is het ook geen probleem.

Ik kan me voorstellen dat ze even wachten met het verhaal totdat de operationele lekken gedicht zijn.
Full Disclosure is prima, maar als de kans op misbruik een zekerheid wordt, dan is daar niemand bij gebaat. Het lijkt erop dat het gevoel van urgentie bij de ATM makers wel aanwezig is.
Jack wordt niet de mond gesnoerd, hij kan genoeg andere mooie verhalen vertellen. Dat verhaal komt later wel een keer, hij heeft zijn credits nu toch al verdiend.

Kennelijk kun je de boel neppen. Maar dan sta je nog steeds op de camerabeelden waarschijnlijk.
Maar als hij maanden met een fabrikant heeft samengewerkt en een gat gevonden heeft, is die fabrikant op de hoogte van het probleem en zou het (zet er een paar experts op, voorzie ze van cola en zorg dat het gefixt is voor ze naar huis gaan) binnen uren, niet dagen, laat staan weken, op te lossen moeten zijn.

Er staat ook dat de fabrikant waarschijnlijk bang is voor bad publicity. Okee, we screwed up AND we fixed it. Waarom zou je de wereld niet willen vertellen dat je de eerste pinautomatenfabrikant bent die de boel wel goed gefixt heeft?

Ach, op de filmpjes op Liveleak nemen de boze mannen altijd consequent de hele ATM mee, of ze blazen hem op, of ze zetten een willekeurig slachtoffer een pistool op 't hoofd met het verzoek om even op te schieten met pinnen.

Wie is er nu geinteresseerd in het hacken van een ATM??? ;-)

We hebben het hier over een GELDautomaat, geen PINautomaat. Met een PINautomaat betaal je. Een PINautomaat vindt je o.a. in de supermarkt bij de kassa. Sommigen leren het ook nooit.

Dit zogenaamde 'gat' is alleen te gebruiken doordat fabrikanten tegenwoordig besturingssystemen in GEA's gebruiken die te hacken zijn en in banknetwerken zit van alles aan elkaar vast met toegangsbeveiliging via software. Dat is altijd te kraken.

Toen er nog proprietary besturingssystemen en gesloten netwerken waren was dit onmogelijk, behalve door de eigen IT medewerkers bij een bank. Zo heb ik ooit voor de grap 20 jaar geleden een GEA als gokkast laten werken met de keuze quite of dubbel vlak voor het uitbetalen indien er een bepaalde pas in ging. Met testsoftware kun je bv ook testen of het maximum aantal biljetten werkt of duurzaamheidstesten doen op het intern transportmechanisme. Er komen dan dikke pakken biljetten uit in de gewenste denominatie. Maar zelfs dan duuurt het nog geruime tijd om een GEA leeg te halen en het valt wel op als je met een grote doos bij een GEA staat.