Un investigador de seguridad alemán encontró que los cajeros automáticos operados por el banco alemán Sparkasse filtraron información potencialmente sensible durante una actualización de software.

Benjamin Kunz-Mejri, ejecutivo en jefe y fundador de la empresa de seguridad con sede en Alemania, Vulnerabilty Lab, se encontró con el problema cuando intentó utilizar su tarjeta para retirar dinero sin éxito. El cajero se puso fuera de servicio antes de que Kunz-Mejri ingresara una "combinación especial de teclas" que llevan a una pantalla de actualización de software en el monitor del cajero automático, explicó en una entrada del blog de Vulnerabilidad Lab.

La pantalla se puso en modo no disponible. En este modo Benjamin utilizó una combinación especial del teclado para "engañar" al cajero y cambiar a otro modo, con esta combinación la consola cmd quedó disponible para seleccionar los mensajes de mantenimiento en la parte superior de la pantalla, después de que la tarjeta fuera removida del cajero automático. En ese momento, el investigador se dio cuenta de que había un hueco y utilizó su iPhone para capturar la salida de la consola bootChkN (Wincor Nixdorf) del administrador.

Al desplazarse a través de la pantalla pudo acceder a una cantidad sustancial de información sensible, en la que se incluían nombres de usuario, números de serie, configuración del firewall, información de la red, ID de dispositivo y más. "Usando esos datos, él podría haber tomado control del cajero serie Wincor Nixdorf," afirmó Vulnerability Lab.

Kunz-Mejri utilizó su iPhone para capturar la salida de la terminal bootChkN previo a colocarlas en un aviso de seguridad del ATM.

Durante el proceso automático de actualización el teclado no se desactiva, algo que juega un papel central en la vulnerabilidad resultante.

El investigador de seguridad es bien conocido por su trabajo en descubrir errores de seguridad en las aplicaciones basadas en la web de PayPal, iTunes de Apple y otros, no por las vulnerabilidades en hardware o sistemas embebidos, y mucho menos en los cajeros automáticos.