https://newera17031.activehosted.com/index.php?action=social&chash=b5f1e8fb36cd7fbeb7988e8639ac79e9.3134&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=b5f1e8fb36cd7fbeb7988e8639ac79e9.3134&nosocial=1

觀點

一銀盜領案 重點不是更換ATM設備

2016 / 07 / 21
謝持恆
一銀盜領案 重點不是更換ATM設備

沸沸揚揚的 ATM 盜領案,隨著部份嫌疑犯的落網,以及調查單位所公佈的資訊,對於整個犯案的過程有了更進一步的瞭解。在這個之前,陸續很多所謂的「專業人士」,發出了很多不同的論調,這些觀點有些確實可能與這個案件有部分關連,另外當然有一些是為了博取版面,誇大臆測的結果。然而這樣的案件會是唯一的案件嗎,有沒有那些會是其他銀行可以學習的經驗呢? 我們希望能從這次的教訓中,能提供給國內金融界一些警訊。

更換ATM設備硬體不是問題重點
在銀行高層所召開的記者說明會中提到,將陸續替換這次感染的相同機型,馬上有媒體報導了後續的軟、硬體更換的商機,但是真的只更換了硬體設備就真的能解決問題嗎?直到現在,還有部分的銀行資訊從業人員,抱持著一個觀點,說 ATM 是屬於封閉網路,所以 ATM 是不可能被感染病毒或是遭受惡意程式的攻擊,但是從調查局所公佈的資料中,卻狠狠的否定掉這樣的說法。

不可諱言,在最早期 ATM 程式需要執行換版作業時,資訊單位需要製作大量的磁碟片或是光碟,然後將這些磁片交由分行的行員,再視業務性質配合行員或是保全人員,將每一台的 ATM 逐一開啟進行程式更換作業,如果是這樣的情境,說 ATM 所處的網路環境,是屬於封閉式的網路架構還情有可原。但現在幾乎各行庫都是採用軟體派送的方式進行程式異動,如果是這樣的作業模式,也許 ATM 沒有直接對網際網路做連接,但包括派送主機或是程式更新主機,都有可能會因為業務的需要而有對外連接的情形,其實和以往的網路環境已經大不相同,又怎麼能一直堅持 ATM 是屬於封閉網路呢?

也就因為有這樣的想法,所以還是把 ATM 的管控重點,放在亂碼化設備或是基碼建置上,對於 ATM 所使用的作業系統,是不是原廠已經不再提供服務 (End of Service EOS),或是作業系統需要定期修補更新,往往就以ATM 有許多專業設計考量一語帶過。所以即便很早之前就有提出 ATM 作業系統需要考量更換的議題,但去年汰舊換新的比率還是非常有限,甚至在這次事件以前,很多銀行對於 ATM 的更新是沒有列入到現有的計畫中。同樣的狀況,也發生再去年度各行庫依照銀行公會所制定的「金融機構辦理電腦系統資訊安全評估辦法」中,雖然 ATM 也是檢測的項目之一,但 ATM 檢測的結果有很多需要改善的空間。包括這次事件發生後,很多銀行都開始針對調查局所公佈的惡意名稱進行檢視,但試問真的檢視惡意程式名稱就足夠了嗎?今天也許檢測了幾支惡意程式,或是逐步更新了 ATM 設備,但是問題發生的原因還是沒有痛定思痛的解決,並非杞人憂天,但這樣最多只是延緩事件發生的時間而已。

重點在於ATM程式更新/派送的控管機制
其次再以 ATM 的程式更新,外界有一種說法,說 ATM 的程式更新很少,所以一定是內神通外鬼,才有可能將惡意程式安裝在機台上。事實上在 ATM 機器中所播放的廣告,都是透過程式撰寫的方式,所以包括更動廣告、警語等都會有程式的更動,更何況是配合業務需要所做的調整。理論上來說對於 ATM 的程式,因為敏感性較高,所以程式的異動相對需要比較嚴謹,但有部分銀行最後一道控管卻常常流於形式。有些行庫甚至會採用白名單的方式進行程式異動控制,但白名單也會有疏漏的情形,最著名的例子就是南韓銀行被APT攻擊,就是將惡意程式植入在病毒掃描主機中被感染。這樣的例子有沒有讓台灣的銀行業有所警惕,重新檢視一下類似的風險會不會存在自身的單位中,或是只是當作研討會中一頁的教材,我想各位也許都已經有了答案。

當然就這個案子本身,還有許多可以討論的地方,包括網段的劃分、網路活動的監控、特許使用者的管控,甚至一般人員的資安意識訓練都有討論的空間,也相信如果沒有其他更新、更大的案子,這個案例還會不斷在研討會中探討。但即便把攻擊的手法背的滾瓜爛熟,但如果還是抱持著「船到橋頭自然直」的想法,反正我們就配合時勢做些調整,或是看看其他家做那些我們就跟進,只要主管機關不處罰就好,應該我們家不會有事的心態,那可以確認的是,下一個案例發生的間距一定會越來越短。

[活動訊息 歡迎參加]

7月28日(四) 資安人雜誌舉辦資安研討會,將帶給大家
金融科技(FinTech)的發展與威脅、誘騙感知如何來對付APT威脅、 網路金融犯罪常見的手法公開
活動時間:2016年7月28日 (四) 13:20 ~ 17:00
活動地點:國泰金融會議廳 A廳 (台北市信義區松仁路9號1樓) [無提供停車位]
報名網址:https://www.informationsecurity.com.tw/Seminar/ISevent20160728/