Grup infractionat destructurat de DIICOT a reusit sa atace informatic mai multe ATM-uri din care a extras fraudulos 200.000 euro in 10 luni

Procurorii  Directiei de Investigare a Infractiunilor de Criminalitate Organizata si Terorism – Structura Centrala  au dispus retinerea a opt persoane pentru savarsirea infractiunilor de  constituire a unui grup infractional organizat,  acces ilegal la sisteme informatice, fraude informatice, perturbarea functionarii sistemelor informatice, alterarea integritatii datelor informatice si operatiuni ilegale cu dispozitive si programe informatice si distrugere.

In cauza, exista suspiciunea rezonabila ca in perioada decembrie 2014 – octombrie 2015, obiectivul grupului infractional organizat a constat in incercarea compromiterii si fraudarii si/sau dupa caz, compromiterea tehnica si fraudarea cu ajutorul unui virus infomatic a mai multor terminale tip ATM apartinand diferitelor institutii bancare de pe teritoriul Romaniei (Bucuresti si alte zone din tara) dar si din strainatate (Ungaria, Republica Ceha, Spania, Federatia Rusa, etc.) prejudiciul material fiind in cuantum de aproximativ 200.000 de euro.

Modalitatea de operare /metoda „Jackpotting”
Din cercetarile efectuate in cauza s-a retinut ca activitatile infractionale s-au desfasurat  in principal pe nivelul a doua segmente de executie debutand cu etapa culegerii de informatii si a verificarilor in teren, in vederea identificarii zonelor de 24 de ore (zone accesibile publicului/posesorilor legitimi de carduri bancare la bancomate, in afara orelor de program) apartinand diverselor agentii/sucursale bancare din tara si a terminalelor ATM interioare, instalate in incinta respectivelor locatii, terminale susceptibile de a forma tinta unor atacuri reusite.

In acest sens, membrii grupului urmareau identificarea anumitor tipuri de ATM – uri (in speta, terminale de tip NCR), terminale instalate in respectivele zone de 24 de ore, care nu erau incastrate in zidurile bancii si care puteau astfel fi manipulate cu usurinta. S-au avut in vedere bancomatele  al caror modul electronic existent in partea superioara (si in care se afla computerul aparatului), putea fi deschis si rabatat cu ajutorul unei chei universale, din fata si al carui sistem informatic era prevazut cu dispozitive CD-ROM, componenta necesara instalarii si introducerii datelor informatice frauduloase.

In continuare, verificarile si activitatile prealabile vizau existenta sau nu a sistemelor de alarma prevazute la nivelul bancomatelor (in caz afirmativ procedandu-se la anihilarea acestora prin lipirea cu banda adeziva tip scotch, a micro-releului/senzorului de alarma), fotografierea componentelor electronice ale modulului informatic si in special verificarea unitatii CD-ROM, componenta sistemului informatic al bancomatului, montat in partea superioara a acestuia.

In ceea ce priveste natura si modalitatea de functionare tehnica a programului informatic utilizat pentru compromiterea bancomatelor, respectivul virus avand denumirea de „ulssm.exe”, era setat sa functioneze in parametrii corespunzatori doar pe timpul week-end-urilor, motiv pentru care faptele de prejudiciu consumate s-au realizat doar in aceste intervale de timp, restul perioadelor din saptamana fiind alocate doar activitatilor preparatorii de identificare a bancomatelor tinta.

Ca urmare a verificarilor online efectuate cu privire la programele informatice de tip “malware”, care au fost utilizate la infectarea ATM-urilor din mai multe tari, prin aceeasi metoda, a rezultat ca, sub aspectul modalitatii tehnico-faptice de operare, fisierul executabil cu denumirea ulssm.exe era copiat de pe un mediu optic (in speta, suport tip CD) iar dupa extragerea numerarului virusul era sters de catre utilizatorul sau in mod automat, astfel incat dupa comiterea faptei erau identificate doar urme ale respectivului soft.

In continuarea activitatii infractionale, dupa momentul instalarii virusului si introducerii neautorizate a fisierelor si datelor informatice de natura sa infecteze sistemul informatic si de operare al ATM-ului si sa-l determine astfel sa elibereze sumele de bani, alti membrii ai grupului, impreuna si coordonati de catre autorul atacului informatic, au procedat la efectuarea mai multor operatiuni de extragere de numerar fara ca acestea sa presupuna utilizarea de instrumente de plata electronica/carduri bancare. Dispensarile si extragerile frauduloase a numerarului din respectivele atm-uri se facea in mod esalonat, fiecare extragere consecutiva de numerar fiind formata dintr-o suma fixa, respectiv cate 4.000 de lei pentru fiecare operatiune.

Sursa: DIICOT