2020 yılından itibaren dünya genelinde 1.900’ü aşkın ATM jackpotting vakası raporlandı ve bunların 700’ü sadece geçtiğimiz yıl gerçekleşti. 2025 yılı Aralık ayında açıklanan verilere göre, bu saldırılar nedeniyle 20 milyon dolara yakın maddi kayıp yaşandı. Özellikle Windows tabanlı ATM’ler, Ploutus gibi kötü amaçlı yazılımlar kullanılarak hedef alınıyor.
Saldırının Genel Çerçevesi
ATM jackpotting saldırıları, fiziksel erişimle ATM’nin sabit diskine kötü amaçlı yazılım yüklenmesi veya sabit diskin tamamen değiştirilmesiyle başlıyor. Bu yöntemler, ATM’nin orijinal yazılımındaki güvenlik kontrollerini atlayarak doğrudan donanımla etkileşime geçen zararlı kodun çalışmasına olanak tanıyor. Böylece, geçerli bir banka işlemi olmadan nakit dağıtımı tetiklenebiliyor.
Ploutus zararlısı, ATM’nin Finansal Hizmetler için eXtensions (XFS) yazılım katmanını kullanarak, banka onayı gerektiren işlemleri atlatabiliyor. Tehdit aktörleri, XFS katmanına kendi komutlarını ileterek ATM’nin nakit dağıtmasını sağlayabiliyor. Bu saldırılar dakikalar içinde gerçekleşip tespit edilmesi oldukça zor olabiliyor.
Hangi Sistemler Risk Altında?
Windows işletim sistemi kullanan ATM’ler, özellikle standart kimlik bilgileri değiştirilmemiş ve fiziksel güvenlik önlemleri zayıf olan cihazlar risk altında. Siber suçlular, ATM yüzünü açmak için yaygın kullanılan genel anahtarları kullanarak yetkisiz erişim sağlıyor. Ayrıca, sabit disk çıkarma ve değiştirme gibi fiziksel müdahalelerle kötü amaçlı yazılım yükleniyor.
Siber Güvenlik Ekipleri İçin Öneriler
Kuruluşlar, jackpotting saldırılarına karşı aşağıdaki önlemleri alarak riskleri azaltabilir:
- ATM cihazlarında standart kilitlerin değiştirilmesi ve fiziksel güvenlik kameralarının kurulması.
- Tehdit sensörleri ve hareket algılayıcıların kullanılması.
- Varsayılan kimlik bilgilerinin değiştirilmesi ve cihaz izin listelerinin uygulanması.
- Otomatik kapanma modlarının yapılandırılması ve yetkisiz cihaz bağlantılarının engellenmesi.
- ATM cihazlarının düzenli denetimi ve logların merkezi bir SIEM sistemine aktarılması.
- EDR çözümleri ile cihazların davranış bazlı izlenmesi ve anormal aktivitelerin tespiti.
Saldırı Zinciri ve Teknik Detaylar
ATM jackpotting saldırıları genellikle şu adımlarla gerçekleşiyor:
- Fiziksel erişimle ATM’nin sabit diskine kötü amaçlı yazılım yüklenmesi veya sabit diskin değiştirilmesi.
- Ploutus gibi zararlıların XFS yazılım katmanına komut göndererek banka onayını atlaması.
- ATM’nin nakit dağıtımını tetiklemesi ve suçluların nakit çekimi yapması.
Bu saldırılar, müşteri hesaplarına veya banka kartlarına bağlı olmadığından, farklı ATM üreticilerinin cihazlarında minimum kod değişikliği ile uygulanabiliyor. Bu durum, saldırının yaygınlığını artırıyor.
Güncel Gelişmeler ve Hukuki Boyut
ABD Adalet Bakanlığı, son dönemde bu tür suçlarla bağlantılı altı şüpheliyi daha banka dolandırıcılığı, banka soygunu ve bilgisayar dolandırıcılığı suçlamalarıyla dava etti. Şüphelilerin, yabancı terör örgütü olarak tanımlanan Tren de Aragua ile bağlantılı olduğu iddia ediliyor. Toplamda 93 sanık hakkında dava açılmış durumda.
Teknik Özet
- Kullanılan Zararlılar: Ploutus ve varyantları.
- Hedef Sistemler: Windows tabanlı ATM cihazları.
- Saldırı Yöntemleri: Fiziksel sabit disk müdahalesi, XFS katmanına komut enjeksiyonu.
- Saldırı Zinciri: Fiziksel erişim → Kötü amaçlı yazılım yükleme → XFS komutları ile nakit dağıtımı.
- Önerilen Savunma: Fiziksel güvenlik artırımı, varsayılan kimlik bilgisi değişikliği, EDR ve SIEM entegrasyonu, otomatik kapanma modları.
Kurumsal Senaryo
Örneğin, büyük bir finans kurumu, ATM cihazlarında varsayılan şifreleri değiştirmemiş ve fiziksel güvenlik önlemlerini ihmal etmiş olabilir. Bu durum, saldırganların sabit diske kötü amaçlı yazılım yüklemesine ve dakikalar içinde milyonlarca dolarlık nakit çekimine yol açabilir. Bu tür saldırılar, kurumun itibarını zedeleyebilir ve ciddi finansal kayıplara neden olabilir.
Sonuç ve Öneriler
ATM jackpotting saldırıları, fiziksel ve yazılım güvenlik açıklarının birleşimiyle gerçekleşiyor. Siber güvenlik ekiplerinin, olay müdahale (incident response) planlarını güncellemeleri, e-posta güvenliği ve ağ segmentasyonu gibi tamamlayıcı önlemleri almaları kritik önem taşıyor. Ayrıca, bulut güvenliği ve IAM politikalarının güçlendirilmesi, bu tür saldırıların etkisini azaltabilir.