Atacar un cajero está al alcance de tu mano: mucho cuidado con el 'handware hacking'

Seguro que has curioseado alguno de ellos, o tal vez lo hayas utilizado para matar el aburrimiento mientras esperabas a un amigo. Incluso es posible que, en alguna ocasión, te hayan resultado útiles. Nos referimos a los kioscos digitales, esos dispositivos que permiten, entre otras muchas cosas, comprar entradas, obtener información turística o alquilar bicicletas.

Lo que probablemente no sabes es que esos cacharros los puede 'hackear' cualquiera, sin necesidad de ser un manitas de los ordenadores y usando una herramienta tan asequible como sus propias manos. De ahí que el experto en seguridad informática Borja Berástegui haya bautizado esta modalidad de ataque como 'handware hacking'.

El objetivo de este investigador no es otro que “poner en evidencia la facilidad que hay de acceder a un montón de dispositivos que se encuentran disponibles en todo el mundo en la calle o en lugares públicos”. La clave del 'handware hacking' reside en su simplicidad: todo puede hacerse simplemente tocando.

Mucho más que una afición

El 'handware hacking' llegó a la vida de Berástegui mientras sufría las interminables esperas de los aeropuertos. Allí comenzó a probar los equipos que encontraba, especialmente terminales de información.

Una pantalla mal calibrada, por ejemplo, es suficiente para que Berástegui (o cualquiera que se lo proponga) logre cerrar las aplicaciones que se muestran a pantalla completa y acceda así al equipo. “Al fin y al cabo, es un ordenador al uso”.

Lo que empezó como entretenimiento ha llegado a convertirse en una colección. Con más de una veintena de dispositivos distintos en su haber, 'hackeados' en países como España, Francia, Croacia o Turquía, su peculiar reportorio lo conforman imágenes del antes y el después. La única condición que Borja se autoimpone es dejar el aparato tal y como lo encontró antes de marcharse.

El sistema varía según el tipo de kiosko y las circunstancias. Desde pantallas mal calibradas que permiten cerrar esas interfaces a pantalla completa (que, en principio, son las que impiden que el usuario haga algo más allá de lo que está autorizado) hasta aplicaciones que se acaban cerrando si se les da más trabajo del habitual.

Berástegui nos cuenta que ha llegado a obrar su 'magia' en cajeros automáticos: “mientras se reinician, hay un periodo de uno o dos segundos durante los que, antes de lanzarse la interfaz del cajero, puedes obtener acceso al escritorio de la máquina”.

¿Y para qué?

En resumen, el 'handware hacking', tal como lo entiende Borja, consiste en salir de la aplicación predefinida, acceder al escritorio, abrir una línea de comandos y volver a dejarlo todo en su estado original.

Con esta premisa, el daño que se puede causar con esta práctica es, en principio, limitado: lo peor que puede pasar es que el equipo quede inutilizado hasta que alguien vuelva a arrancarlo. Otra de las cosas que pueden suceder es que el 'hacker' (que, como decimos, puede ser cualquier persona) se sirva de la conexión a internet del dispositivo para, desde el escritorio, acceder a contenidos bien distintos a los que ofrece habitualmente el kiosco. Por ejemplo, una peli porno.

“Son equipos a los que se les da poca importancia pero en los que, al margen de las actividades maliciosas, alguien puede hacerte un destrozo”, sentencia Berástegui.

Sí, has leído bien: actividades maliciosas. Porque, más allá de su afición, este 'hacker' se pregunta qué podría hacer alguien sin escrúpulos y con conocimientos tras obtener acceso completo a uno de estos ordenadores, que a menudo forman parte de una red de alta seguridad en lugares tan delicados como un aeropuerto.

“Evidentemente, tú obvias conseguir acceso a un equipo de los de la red del aeropuerto”, explica Borja. “Sin embargo, tienes un kiosco informativo y, si consigues evadir el interfaz principal que te ofrece y acceder al equipo de manera libre, ya puedes analizar qué equipos se ven a partir de ahí...”

Y es que, en definitiva, estos kioscos digitales pueden ser la puerta de acceso a una red de equipos con una enorme cantidad de datos sensibles. Aunque Berástegui jamás haya cruzado esa línea roja, supone que, por ejemplo, los equipos que permiten sacar entradas para espectáculos pagando con tarjeta de crédito son carne de cañón.

“Estoy convencido de que esos aparatos tienen acceso total a internet y, una vez que tienes acceso a internet, puedes descargar lo necesario para analizar la aplicación de venta de entradas, buscar si las tarjetas de crédito se quedan almacenadas en el sistema o averiguar si desde el terminal puedes acceder a la central donde está el sistema de pago”, teoriza. “Seguro que encuentras vulnerabilidades importantes. Se me ocurren un montón de cosas que se podrían probar”.

¿Tiene arreglo, doctor?

La mejora de la seguridad en este tipo de dispositivos pasa por “las buenas prácticas”, según Berástegui. Bloquear los cuadros de diálogo o hacer que no haya una interfaz con la que trabajar en caso de que la aplicación se cierre son algunas de las propuestas de este 'hacker' que tiene una espinita clavada: los cajeros automáticos.

“A los cajeros nunca le he dedicado el suficiente tiempo, entre otras cosas, porque puede que me llevara una bronca y con razón”, afirma Borja. Los sistemas de los cajeros son más delicados y, por lo tanto, más interesantes para las entidades bancarias, que deberían preocuparse por conocer las vulnerabilidades que presentan sus equipos.

Así que, amigos, si alguno de vosotros tiene un cajero automático o un dispositivo similar guardado un altillo, que se lo deje un rato al creador del 'handware hacking', que estará encantado de buscar el talón de Aquiles de la maquinita.