Braquage high-tech : découvrez comment des hackers ont piraté des distributeurs bancaires avec un simple Raspberry Pi !

Un braquage high-tech sans flingues ni carrosseries brûlées

Oubliez les images hollywoodiennes : ni masques, ni mitraillettes, ni bolides lancés à toute allure. Les malfaiteurs du dernier « bank heist » ont fait plus furtif encore : un simple Raspberry Pi, glissé dans le réseau interne d’une banque, leur a suffi pour se jouer des firewalls et défenses périmétriques. Zoom sur cette attaque inédite, décryptée par la firme de sécurité Group-IB, qui révèle à quel point un mini-ordinateur peut mettre à mal des infrastructures ultra-protégées.

Infiltration par le tout-petit porte d’entrée

La première étape a été l’introduction physique du Raspberry Pi dans un commutateur réseau de la banque (Network Switch). Grâce à un modem 4G intégré, l’appareil s’est connecté au réseau interne sans passer par les canaux officiels. Le traffic transitait discrètement via le réseau mobile, échappant à tout filtrage classique :

Connexion directe à l’infrastructure IT, sans liaison physique visible ni câble Ethernet emprunté par le LAN.
Tunnel chiffré 4G pour masquer l’origine des communications et contourner la supervision réseau.
Installation dissimulée dans une armoire ou sur un boîtier, rendant la détection physique très difficile.

Visée sur le serveur ATM-Switching

Le cœur de la manœuvre ciblait le serveur ATM-Switching, responsable de la coordination de toutes les transactions des distributeurs automatiques (ATMs). Contrôler ce composant permettait aux pirates :

d’accéder au Hardware Security Module (HSM), le coffre-fort cryptographique qui abrite les clés de chiffrement et signe les opérations financières ;
de modifier ou d’injecter des commandes non autorisées pour vider des guichets ou manipuler les soldes à distance ;
d’étendre la compromission à l’ensemble du parc d’ATMs gérés par ce serveur.

Tarn et camouﬂage : Linux Bind Mounts en mode pirate

Pour passer inaperçus face aux outils de sécurité, les assaillants ont détourné un mécanisme d’administration standard de Linux, les Bind Mounts. Conçus pour monter des répertoires à différents endroits, ils ont été abusés pour :

masquer des fichiers et processus malveillants dans des répertoires de confiance ;
dissimuler les traces d’exécution au sein des logs systèmes ;
éviter la détection par les agents antivirus ou les scanners de comportements suspects.

Selon Group-IB, c’est la première fois qu’une telle technique de dissimulation est documentée dans le paysage du cybercrime bancaire.

Communication bidirectionnelle via les serveurs internes

Au-delà du Raspberry Pi, les hackers ont exploité deux autres piliers du système :

Serveur de messagerie interne : utilisé comme canal de contrôle, il recevait et envoyait les ordres du Pi, profitant de sa connexion permanente à Internet.
Serveur de supervision réseau : détourné en relais, il communiquait régulièrement avec le mini-ordinateur pour synchroniser les tâches et masquer la présence d’un accès externe.

Cette configuration à plusieurs niveaux a renforcé la résilience de la session pirate, rendant toute coupure ou détection manuelle très compliquée.

Quelles leçons pour sécuriser vos systèmes ?

Ce braquage moderne montre qu’un simple accès physique peut compromettre une forteresse numérique. Pour durcir vos infrastructures, quelques pistes :

Segmenter le réseau : séparez clairement les zones sensibles (ATMs, HSM) des réseaux administratifs et visiteurs.
Activer la détection des équipements non autorisés : déployez des sondes LAN capables d’identifier les MAC inconnus et d’alerter en temps réel.
Surveiller les accès physiques : limitez et logguez l’accès aux salles serveurs et racks réseau, avec vidéo-surveillance et badge.
Filtrer intelligemment la 4G : dans les zones critiques, bloquez ou contrôlez les connexions mobiles au réseau interne.
Renforcer la supervision système : combinez l’analyse heuristique (SIEM) avec des outils de détection d’anomalies comportementales.

Un avertissement pour toute organisation

Si les clients finaux ne subissent pas directement cet incident, les conséquences peuvent être vertigineuses : perturbations de services, pertes financières et atteinte à la confiance. Le cas du Raspberry Pi illustre à quel point la frontière entre le monde virtuel et le terrestre est poreuse. En tant que geeks et professionnels IT, il est crucial de repenser chaque maillon de la chaîne de sécurité pour anticiper les prochaines vagues d’attaques high-tech.