パスワードを忘れた? アカウント作成
11091812 story
セキュリティ

カナダの14歳2人組、モントリオール銀行のATMをハックして銀行に報告 50

ストーリー by hylom
一歩間違えれば警察沙汰ではある 部門より
danceman 曰く、

14歳のカナダ人少年、Matthew Hewlett君とCaleb Turon君が、ランチタイム中に学校を抜け出し、モントリオール銀行のATMのセキュリティー上の脆弱性を指摘したという一件があったそうだ(Winnipeg SunSlashdot記事)。

2人はオンライン上でATMのオペレーターマニュアルを発見、そこにATMをオペレーターモードに切り替える方法が載っていたとのこと。そこで、学校のランチタイム中にモントリオール銀行のATMに行き、システムに入り込めるか試してみたという。「まさかできるとは思わなかった」ものの、数字6桁のパスワード認証では「ありふれたデフォルトのパスワード」を適当に打ったところ、システムに入り込むことができてしまったとのこと。

慌ててモントリオール銀行に連絡したものの、銀行側は顧客の暗証番号の一つが盗まれてしまったのだと誤解。そこで2人は、ATMをハックできてしまったことを銀行側に理解してもらうために証拠を入手することにした。再びATMに戻ってオペレーターモードでシステムに潜入し、ATM内にいくらお金が入っているのか、またその日にATMから引き出されたお金の合計や利用手数料の合計に関するドキュメントをプリントアウトした。また、利用手数料の合計を変えられる方法が分かったので、1セントに変えたとのこと。さらに、一番最初の挨拶画面「BMOのATMにようこそ」を「あっちいけ。このATMはハックされている」に変えたという。

こうした証拠を揃え、よやく銀行側に事の重大さを知らせることができ、最終的には支店マネージャーと直接会って話し、システムの脆弱性について指摘することができたという。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2014年06月10日 12時00分 (#2618333)

    <誤>
    慌ててモントリオール銀行に連絡したものの、銀行側は顧客の暗証番号の一つが盗まれてしまったのだと誤解。そこで2人は、ATMをハック出来てしまったことを銀行側に理解してもらうために証拠を入手することにした。

    <正>
    慌ててモントリオール銀行に連絡したものの、銀行側は顧客の暗証番号の一つが盗まれてしまったのだと誤解。
    2人はなおも、ATMがハック出来たことを訴えたものの、銀行側は、そんなことは不可能、証拠もってこい、と主張。
    そこで2人は、ATMをハック出来てしまったことを銀行側に理解してもらうために実際に証拠を入手することにした。

    • by Anonymous Coward on 2014年06月10日 13時58分 (#2618497)
      まあ頼まれてもないのに証拠集めると訴えられる我が国では重要だよな。
      親コメント
      • by Anonymous Coward on 2014年06月10日 14時50分 (#2618562)

        この件でも、あやうく脆弱性を指摘した少年が逮捕されかねなかったね。
        つくづく社会というものは責任逃れで出来ている。
        日本に限らないということか。

        親コメント
        • by Anonymous Coward

          > つくづく社会というものは責任逃れで出来ている。

          それが正しい生存戦略だから仕方がない。

          • by Anonymous Coward

            個にとってはそうでしょう。
            種にとってはその限りではないでしょう。

            • 種ってなんですか?

              はっ、もしや群淘汰論者?

              完全にオフトピですねごめんなさい。

              --
              Jubilee
            • by Anonymous Coward

              生存戦略を考えて実行するのは種じゃなくて個です。

              俺が死んだ後に人類が繁栄しようが
              絶滅しようが知ったこっちゃねーよ。

        • by Anonymous Coward

          そもそもATMハックしようと思う思考がおかしい

        • by Anonymous Coward

          相手がカカクメソッド [hatena.ne.jp]を用いてこなかったことを、喜ばしく思うべきなのでしょうね…。

    • by Anonymous Coward

      オンライン上にあったという、ATMのマニュアルと、その入手場所を知らせるだけで
      十分証拠になったような気がしますが。
      銀行側は偽のマニュアルと考えて信じなかったのかな

      • by Anonymous Coward
        6ケタのパスワードがあるからなぁ。マニュアルみたからどうなの?って言われそうだ。
  • by nemui4 (20313) on 2014年06月10日 13時23分 (#2618463) 日記

    すると逆恨みされたり、訴えられたりされるケースが多そうな気がするけど、今回は良い感じで終息しそうでなにより。

    • by Anonymous Coward on 2014年06月12日 22時04分 (#2620251)

      日本だったら確実にタイーホだよね。
      善意だろうがうっかりだろうが関係ない。
      脆弱性指摘に限らんけれど、見てみぬ振りするのが一番という、ほんと困ったもんだ。

      親コメント
  • by Anonymous Coward on 2014年06月10日 14時46分 (#2618558)

    123456だったって落ちかw

    まあ銀行名そのままだったとかそんな感じ?
    そこが脆弱だとシステムがいくら堅牢でもダメだよね。

    • by minet (45149) on 2014年06月10日 16時30分 (#2618662) 日記

      そのマニュアルにはデフォルトパスワードも併せて記載されていたそうです。
      で、その端末ではパスワードを変更していなかったというオチ。

      親コメント
    • by Hamo73 (35938) on 2014年06月12日 23時22分 (#2620271)

      Winnipeg Sunの記事内の"They used a common default password."を「ありふれたデフォルトのパスワード」と訳しているので誤解を生んでいるようですが、このcommonは「共通の/共有の」という意味です。

      Edmonton Journalの記事 [edmontonjournal.com]だともう少しわかりやすく書いてあります。

      They managed to crack the password on the first try, a result of BMO’s machine using one of the factory default passwords that had apparently never been changed.

      つまり、「工場出荷時のデフォルトパスワード(複数)のうちの1つ」を選んで入れてみたら一発で通ったというお話です。

      親コメント
    • by Anonymous Coward

      6文字……「qwerty」か?

    • by Anonymous Coward

      999999かもしれません。

      • by Anonymous Coward

        999998までは試したんだが…

  • by Anonymous Coward on 2014年06月12日 18時10分 (#2620157)

    手順書通りに実行してもハックになるの?

  • 銀行への説明に (スコア:0, おもしろおかしい)

    by Anonymous Coward on 2014年06月12日 19時05分 (#2620186)

    四苦ハックしたんですね

    • Re: (スコア:0, おもしろおかしい)

      by Anonymous Coward

      十中ハックそのようですね

  • by Anonymous Coward on 2014年06月12日 19時12分 (#2620191)

    それはそうと、この銀行員って本気でシステムに穴がないと思ってたのかね?
    どんな機械やプログラムでも、作る奴は必ずバックドアを仕掛けると思うんだが。

    まぁ絶対自分で保守しないシステムならガッチガチに固めても・・・いや、現場の苦労を思うとやっぱ開けるかな。一番ヤバいところは避けながらパスワード付けて。
    って、そのマニュアルが流出したんだろうな。

    • どんな機械やプログラムでも、作る奴は必ずバックドアを仕掛けると思うんだが。

      ログ取って置くくらいじゃ満足な虫取りはできない、というのは恥ずかしながら肯定する。(自分の能力をベースとした場合)
      でも、今時ならATMのような端末でもマルチタスク、マルチユーザーのOSとか搭載しているだろうし、緊急時には顧客の許可とってリモートログイン可能にしておくことは不思議でもないが、この場合はいわゆる「バックドア」とは言わないよね?

      親コメント
      • たれ込み本文をきちんと読んでなかったよ。恥さらしだ。
        オンラインで侵入したのではなくて、ATM上で直接操作してオペレーターモードにしたのか。ATMにグローバルIPとか付けるはずもないだろうし、どうやって内側に潜り込んだのか不思議に思ってた。
        こうしたモードは他の方も言うように物理的なアクションで保護するようにするべきだよね。カギを差し込んでまわし、透明なドアを開けて赤いボタンを押し込むとか。

        親コメント
        • by Anonymous Coward

          >カギを差し込んでまわし、透明なドアを開けて赤いボタンを押し込むとか。
          非常アラートが鳴り響いて自爆カウントダウンが始まる場面しか想像できなかった…

        • by Anonymous Coward

          離れた場所にあるボタンを二つ同時に押すとか。

          • by Anonymous Coward

            裁断機は、オペレーターの両手を確実に離させるためにそうなってるけど、「それじゃ仕事になんねえ気をつけてりゃ大丈夫」っつってボタン一個で切れるようにみんな改造してて、だから印刷屋の寄り合いじゃ指のない奴がゴロゴロいると聞いた。

            ソフト的とハード的だとどっちがクラックしやすいんだろう。

            #あとエヴァンゲリオンのあれはボタンじゃなくて鍵だった気が

  • by Anonymous Coward on 2014年06月12日 21時53分 (#2620246)

    そう言うのって鍵付いてるドアの中のボタンを押さないと立ち上がりすらしない

    なんて機能になってないの?

    • by Anonymous Coward on 2014年06月12日 23時20分 (#2620270)

      タッチパネル式の自動券売機で、画面の四隅を特定の順番で押すと
      パスワード入力画面が出てきてそこから管理画面に入れる、というシステムを見たことがあります。
      今回のもそんな感じだったんじゃないかと

      強いパスワード使う分にはそんな危険でもないだろうし
      わざわざ鍵かけるまでもないと踏んだんでしょう

      親コメント
      • by Anonymous Coward

        デジカメとかケータイでもありますね
        同時押しとか特定の順序でボタン操作するとファクトリーモードにはいっちゃうとか

        • by Anonymous Coward

          ハードウェアってのは基本、一つ機能をくっつけるたびに部品確保や強度試験が複数個発生して
          コストが跳ね上がります。
          現在はそれに加えソフトウェアの開発も連動して発生します。

          だったら既存のマルチインターフェースを利用し(部品や強度試験が増えない)、
          それに合わせたソフトウェア開発(機能の内容が変わるだけで「個数」は変わらない。
          かかる労力はわからんけど労力がそのまま費用に乗るとも限らない)した方が安いし、
          たぶん楽。という考えでは。

typodupeerror

犯人はmoriwaka -- Anonymous Coward

読み込み中...