Безопасность банкоматов: от защиты наличных к контролю всей цепочки поставок оборудования

Развитие локализованного банкоматного оборудования, удаленного управления ключами и систем мониторинга меняет подход банков к защите сети устройств. Банкомат работает не только с наличными: он связан с банковской инфраструктурой, программным обеспечением, сервисными подрядчиками и всё чаще — с биометрической идентификацией клиентов. Поэтому для банка важно контролировать не отдельные средства защиты, а всю цепочку — от поставки оборудования до его обслуживания и реагирования на нештатные события.

О том, почему банкомат сегодня нельзя рассматривать только как точку выдачи наличных и как выстроить его комплексную защиту, рассказывает Никита Лысёнок, ведущий преподаватель магистерских программ «Финансовый инжиниринг» и «Инвестиции на финансовых рынках» НИУ ВШЭ, сооснователь инвестиционного клуба SDF Solutions.

Банкомат — критичный узел банковской инфраструктуры

Банкомат давно перестал быть сейфом с экраном. Сегодня это компьютер с банковскими ключами, подключенный к сети банка и всё чаще — к биометрической системе. При этом устройство находится в общественном месте, нередко без постоянной охраны.

Риски здесь складываются: физический взлом, компрометация программного обеспечения, подключение постороннего устройства к диспенсеру, перехват связи и утечка биометрических данных. Злоумышленнику достаточно найти наиболее уязвимое звено, тогда как банку необходимо контролировать всю цепочку сразу.

Физические атаки — от вскрытия сейфа до попытки вырвать банкомат целиком — остаются наиболее заметными. Усиленные сейфы, системы окрашивания купюр и датчики сделали такие сценарии менее выгодными, однако полностью риск не устранили.

Логические атаки сложнее, но могут оставаться незаметными дольше. Один из известных сценариев — подключение постороннего оборудования к диспенсеру, чтобы организовать выдачу наличных в обход штатной банковской системы. Отдельная категория — мошенничество, при котором банкомат используют для обналичивания средств с чужой карты: технически само устройство может быть не взломано, но инцидент всё равно происходит в банкоматной сети банка.

Недооцененным риском остается сервисное обслуживание. У инженера есть законный повод находиться у устройства, доступ к сервисной зоне и, в зависимости от его полномочий, к программному обеспечению. Ошибка сотрудника или сговор способны обойти часть защитных мер, если банк не контролирует обслуживание техническими и организационными средствами.

Локализация требует доверия к цепочке поставок

Смена производителя, состава комплектующих и прошивок ставит перед банком вопрос доверия к цепочке поставок. Недостаточно убедиться, что оборудование соответствует заявленным характеристикам в момент закупки. Необходимо контролировать, не изменилось ли устройство на пути от завода до точки установки и не появились ли несанкционированные изменения в процессе эксплуатации.

Такой контроль начинается с приемки: проверки поставщика, сертификатов, комплектности, пломб и серийных номеров ключевых узлов. Затем требуется техническая проверка. Прошивки и программное обеспечение должны быть подписаны, а банкомат при запуске — подтверждать их целостность. Банку необходимо хранить эталонную конфигурацию и регулярно сверять её с фактическим состоянием устройства.

Отдельное значение имеет защита связи с диспенсером. Она должна исключать возможность управления устройством через несанкционированное оборудование. Перед массовым развертыванием новой модели целесообразна пилотная эксплуатация на ограниченном числе точек.

Доверие к оборудованию нельзя подтвердить один раз — при покупке. Его требуется поддерживать в течение всего срока службы банкомата: при обновлениях, ремонте, замене компонентов и изменении конфигурации.

Удаленная загрузка ключей уменьшает число ручных операций

Удалённая загрузка криптографических ключей помогает сократить число ручных операций при обслуживании банкоматов. Ранее смена ключей могла требовать присутствия двух сотрудников и работы с бумажными компонентами. Такой порядок сам по себе создаёт риски ошибок и сговора.

Автоматизация не отменяет контроля, но позволяет сделать процедуру более прозрачной и управляемой. При этом банку важно обеспечить защищённые каналы передачи, разграничение полномочий, журналирование действий и контроль нештатных операций.

Биометрические данные нельзя рассматривать как обычный пароль

Биометрия повышает требования к защите. Пароль или ПИН-код после компрометации можно изменить, а лицо или голос — нет. Поэтому биометрические данные не должны храниться в банкомате и покидать защищенный контур.

Устройство должно передавать на проверку зашифрованный образец, а сравнение следует проводить на стороне защищенной системы, а не непосредственно на банкомате. Такой подход снижает риск компрометации данных при физическом доступе к устройству или нарушении его работы.

Мониторинг должен выявлять не отдельные события, а опасные сочетания

Мониторинг банкоматной сети — не только сервисная функция, но и отдельный уровень защиты. Устройства формируют большой поток событий: открытие корпуса, перезагрузки, ошибки диспенсера, потерю связи, необычные операции, смену режима работы.

Для SOC или SIEM в первую очередь стоит передавать сведения об открытии сервисной зоны и сейфа, подключении и отключении USB- и других устройств, переходе в сервисный или тестовый режим, перезагрузках, попытках загрузки с внешнего носителя, изменениях программного обеспечения и конфигурации. Также важны ошибки и отключения диспенсера, потеря и восстановление связи, а также команды на выдачу наличных, не связанные с авторизованной операцией.

Однако сами по себе отдельные сигналы не всегда говорят об атаке. Важно сопоставлять их с контекстом: была ли заявка на обслуживание, какой инженер назначен, в какое время разрешены работы. По этой логике мониторинг банкоматов близок к антифроду: значение имеет сочетание событий и скорость реакции на отклонение от нормального поведения конкретного устройства.

Показателен обобщенный сценарий: ночью система фиксирует открытие сервисной зоны банкомата при отсутствии заявки на обслуживание. Через несколько минут диспенсер кратковременно отключается, а затем в системе появляется новое USB-устройство. Каждое из этих событий отдельно можно было бы принять за технический сбой. Но их сочетание вне регламентного окна дает основание заблокировать выдачу наличных и направить группу реагирования. В этом случае деньги не успевают уйти.

Ответственность нельзя полностью передать подрядчикам

Производитель отвечает за безопасность конструкции и прошивок, а также за своевременное устранение уязвимостей. Сервисная компания — за дисциплину доступа: кто, когда и зачем открывал устройство, соблюдались ли регламенты обслуживания.

Банк при этом остается владельцем риска перед клиентом и регулятором. Он не может полностью переложить ответственность на производителя или сервисного подрядчика. Задача банка — закрепить требования в договорах, контролировать их исполнение и самостоятельно получать информацию обо всём, что происходит с устройствами.

Защита банкоматной сети сегодня строится не вокруг одного средства — усиленного сейфа, камер или антивируса. Она требует контроля поставок, подтверждения целостности программного обеспечения, защищенной работы с ключами, ограничения сервисного доступа и мониторинга событий. Только так банк может видеть не отдельный банкомат, а всю цепочку, от которой зависит безопасность наличных, данных и клиентских операций.