FBI Reports 1,900 ATM Jackpotting Incidents Since 2020, $20M Lost in 2025

Alerte sur le “Jackpotting” des Distributeurs Automatiques de Billets

Le FBI a signalé une augmentation significative des attaques de “jackpotting” contre les distributeurs automatiques de billets (DAB) aux États-Unis. Depuis 2020, près de 1 900 incidents ont été recensés, entraînant des pertes estimées à plus de 20 millions de dollars pour l’année 2025, et 40,73 millions de dollars depuis 2021.

Les cybercriminels exploitent des vulnérabilités physiques et logicielles pour déployer des malwares, tels que Ploutus, qui forcent les DAB à distribuer de l’argent sans transaction légitime. L’accès aux machines se fait souvent en ouvrant leur façade avec des clés génériques. Les malwares sont installés soit en manipulant le disque dur de l’appareil, soit en le remplaçant par un disque pré-infecté. Ces malwares contournent les contrôles de sécurité en interagissant directement avec le matériel du DAB via les extensions XFS (eXtensions for Financial Services), permettant des retraits non autorisés et difficiles à détecter avant que l’argent ne soit retiré.

Points Clés :

• Augmentation des attaques de “jackpotting” sur les DAB.
• Pertes financières considérables pour les institutions bancaires.
• Utilisation de malwares spécifiques comme Ploutus.
• Exploitation de vulnérabilités physiques et logicielles.

Vulnérabilités identifiées :

• Exploitation des vulnérabilités physiques des DAB (accès via clés génériques).
• Exploitation des vulnérabilités logicielles, notamment via les extensions XFS (eXtXtensions for Financial Services), permettant de contourner les autorisations bancaires.
• Exploitation du système d’exploitation Windows sous-jacent aux DAB.

Recommandations :

• Renforcer la sécurité physique des DAB : installer des capteurs, des caméras de surveillance, et changer les serrures standard.
• Auditer régulièrement les DAB.
• Modifier les identifiants par défaut.
• Configurer des modes d’arrêt automatique en cas de détection d’indicateurs de compromission.
• Mettre en place une politique d’autorisation des périphériques (allowlisting) pour empêcher la connexion d’appareils non autorisés.
• Conserver des journaux d’activité détaillés.

Source