Защита банкоматов Diebold Nixdorf от атак black box оказалась ненадежной

Защита банкоматов Diebold Nixdorf от атак black box оказалась ненадежной

Защита банкоматов Diebold Nixdorf от атак black box оказалась ненадежной

Исследователи из Positive Technologies выявили уязвимости в банкоматах Wincor линейки Cineo (торговая марка принадлежит концерну Diebold Nixdorf). Как оказалось, их можно заставить выдать наличные, подав команду с внешнего устройства, — невзирая на защиту от подобных атак.

Проверка показала, что встроенную защиту от атак типа black box (сквозное шифрование управляющего трафика) можно обойти, подменив прошивку контроллера диспенсера. При наличии доступа к USB-порту искомый результат — принудительную выдачу наличных — можно получить за несколько минут.

Пробная атака, проведенная в лабораторных условиях, состояла из трех этапов: подключение стороннего устройства к банкомату, загрузка устаревшей и уязвимой прошивки, эксплуатация уязвимостей для получения доступа к содержимому кассет.

«На популярном сайте объявлений был куплен такой же контроллер, управляющий выдачей, какой установлен в серийных ATM Wincor, — рассказывает Владимир Кононович, старший специалист отдела PT по безопасности промышленных систем управления. — Найденные в контроллере ошибки в коде и старые ключи шифрования дали возможность подключиться к ATM с помощью собственного компьютера (как в случае с классической атакой black box), обойти шифрование и произвести выдачу наличных».

Проблема актуальна для Wincor Cineo с диспенсерами RM3/CRS и CMD v5 (CVE-2018-9100 и CVE-2018-9099 соответственно). Избавиться от нее можно обновлением прошивки, запросив последнюю версию у производителя банкоматов. Вендорам также рекомендуется включить физическую аутентификацию для оператора во время установки встроенного ПО.

Обе уязвимости были обнаружены и поставлены производителю на вид более трех лет назад. Компания Diebold Nixdorf заявила, что проблема уже устранена, поэтому авторы находок решили опубликовать свое исследование. Результаты будут также представлены 29 октября на конференции по безопасности аппаратных решений Hardwear.io, проходящей на этой неделе в Нидерландах.

В 2018 году специалисты Positive Technologies помогли избавиться от похожей уязвимости другому крупному производителю банкоматов — NCR. Этот вендор проявил большую оперативность и залатал брешь в сжатые сроки.

В Яндексе ожидаются сокращения

Яндекс в рамках оптимизации расходов может сократить несколько сотен сотрудников. Основная часть возможных увольнений, по данным источников, ожидается в ключевом подразделении холдинга — «Поисковые сервисы и ИИ». На фоне экономической ситуации многие ИТ-компании в целом пересматривают расходы — не только на персонал, но также на маркетинг и HR.

О возможном закрытии отдельных направлений и сокращении штата в Яндексе сообщил «Коммерсантъ» со ссылкой на четыре источника на ИТ-рынке. По их данным, изменения могут затронуть подразделение «Поисковые сервисы и ИИ».

Предполагается, что сокращения затронут отдельные команды и продукты. В частности, речь идёт о сервисе маркетинговых исследований «Яндекс Взгляд», информация о возможном закрытии которого уже появлялась в СМИ. Общий объём сокращений, по данным издания, может составить несколько сотен человек. Согласно отчётности Яндекса, по итогам 2025 года численность персонала компании сократилась на 2%.

Как сообщил один из собеседников издания, в коммерческом департаменте «Поисковых сервисов и ИИ» был полностью уволен персонал одного из отделов. В отдельных подразделениях также ввели дополнительный контроль качества работы сотрудников.

По версии одного из источников «Коммерсанта», причиной сокращений могли стать слабые финансовые показатели подразделения «Поисковые сервисы и ИИ». Согласно отчётности компании, рост его выручки по итогам 2025 года составил лишь 10%, что заметно ниже показателей других направлений. Другой источник считает, что сокращение расходов связано с попыткой усилить бизнес-ориентированное направление ИИ.

В самом Яндексе сообщили изданию, что не планируют закрывать бизнес-направления и продолжают наём и развитие.

Между тем ИТ-компании в целом сокращают затраты. Так, директор по персоналу ГК «КОРУС Консалтинг» Дарья Цирулева оценила снижение расходов у крупных игроков на уровне 10–15%. По её словам, этому способствует ситуация в экономике, которая вынуждает бизнес инвестировать прежде всего в проекты с быстрой окупаемостью.

Кроме того, по её оценке, после перегрева рынка в 2022–2023 годах резко снизился спрос на специалистов, занимавшихся миграцией с зарубежного ПО. Снижение, по её словам, достигает 15% в год.

Один из собеседников «Коммерсанта» считает, что компании могут сократить до 20% избыточного персонала. Это может происходить в виде отказа от наёма новых сотрудников, а также через слияние или ликвидацию отдельных подразделений.

Партнёр практики «Операционная эффективность» компании Strategy Partners Денис Тверской среди возможных причин также назвал широкое внедрение сервисов с искусственным интеллектом и рост налоговой нагрузки. По его оценке, в условиях увеличения расходов на фонд оплаты труда содержание избыточного персонала становится для бизнеса слишком дорогим.

При этом возможности современных нейросетевых сервисов для создания и рефакторинга кода также заметно выросли. Новые модели уже заметно ушли от простого статистического анализа и всё ближе подходят к методам работы квалифицированных инженеров.

RSS: Новости на портале Anti-Malware.ru