Раньше атаки на банкоматы казались узкой темой для технических сводок. Теперь дело разработчика Ploutus показывает, что за такими схемами стоят устойчивые группы, длинные цепочки денег и хорошо подготовленный вредоносный код.

Что произошло и почему это важно

Министерство юстиции США сообщило об аресте 50-летнего Анибала Александра Канелона Агирре, известного как Prometheus и The Engineer. Следствие считает его одним из руководителей венесуэльской группировки Tren de Aragua и разработчиком малвари Ploutus, которую использовали для атак на банкоматы — джекпоттинга.

По версии следствия, с февраля 2024 по декабрь 2025 года участники TdA провели как минимум 63 успешные атаки на банкоматы банков и 54 — на устройства кредитных союзов. Общий ущерб превысил 5,4 млн долларов, а неудачные попытки добавили еще около 1,43 млн долларов потенциальных потерь.

Это дело важно не только из-за суммы. Оно показывает, что вредоносный код для атаки на банкоматы живет долго, умеет скрывать следы и работает как инструмент массового извлечения наличных, а не как разовая вылазка одиночек.

Как устроены такие атаки

Ploutus, по данным Минюста США, мешала банкомату нормально работать и заставляла его выдавать деньги без списания средств со счетов. В коде были механизмы, которые усложняли анализ, реверс и отладку, а отдельные компоненты позволяли стереть следы заражения.

Именно поэтому подобные инциденты редко ограничиваются одним устройством. Если злоумышленники получают доступ к банкомату или к его обслуживанию, они стараются быстро выжать максимум и замести следы до приезда инженеров.

Для бизнеса это напоминает о двух вещах: банкомат — не просто «железка с деньгами», а часть общей инфраструктуры, а любой сбой в ней нужно разбирать как инцидент безопасности. Подход здесь близок к тому, как компании анализируют уязвимости в сервисах и системах учета — от резервного ПО до внутренних панелей администрирования. Посмотрите разбор дыры в AhsayCBS и материал про призраков в учете активов.

Какие выводы стоит сделать банкам и владельцам устройств

У этой истории есть три практических вывода. Первый — физическая защита банкоматов и контроль доступа к ним по-прежнему важны, даже если основная угроза приходит через софт.

Второй — нужен журнал действий, который нельзя легко подчистить локально. Если злоумышленник стирает следы на месте, расследование без удаленных логов и сверки событий превращается в гадание.

Третий — инвентаризация устройств и обновления не должны быть формальностью. Чем дольше банкомат живет на старой версии программной среды и с неактуальными настройками, тем выше шанс, что его используют как точку для быстрого обналичивания.

Кому эта история полезна за пределами банков

Даже если вы не работаете с банкоматами, этот кейс хорошо объясняет логику современной киберпреступности. Злоумышленники ищут не только данные, но и прямую финансовую выгоду, а значит бьют по тем точкам, где деньги можно получить быстро и в большом объеме.

Поэтому компаниям стоит смотреть шире: защищать не только рабочие станции, но и устройства, которые давно считают «вспомогательными». Тот же подход нужен для терминалов, кассовых систем, киосков и любых сервисов, где сбой быстро превращается в потерю денег.

Если вы часто работаете вне офиса, имеет смысл заранее привести в порядок и личное устройство: обновления, пароль, блокировка экрана, шифрование и отдельный канал связи для чувствительной переписки. Для поездок и работы вне привычной сети можно выбрать инструмент для защищенной связи в дороге, чтобы лишний трафик не смешивался с обычным.

Что делать прямо сейчас

  • Проверить, обновлены ли системы управления устройствами и удаленного доступа.
  • Убедиться, что журналы событий уходят на внешний сервер и не стираются локально.
  • Ограничить физический доступ к банкоматам, терминалам и сервисным шкафам.
  • Пересмотреть процедуры реагирования на инциденты: кто отключает устройство, кто сохраняет логи, кто отвечает за уведомления.
  • Проверить, как быстро команда ставит обновления и закрывает известные уязвимости.
  • Если вы часто работаете с чувствительной перепиской вне офиса, заранее подготовить защищенный канал связи через Freedome.

Это дело не про один арест и не про одну группировку. Оно про то, что киберпреступность давно научилась зарабатывать на стыке кода, физического доступа и слабой дисциплины эксплуатации.

Поделиться: