Zwei 14-jährige Kanadier haben in der Mittagspause einen Bankautomaten der Bank of Montreal gehackt – nachdem sie online eine Betriebsanleitung gefunden hatten. Das Handbuch führte auf, wie man die administrative Kontrolle über die Maschine erlangt.

Als Matthew Hewlett und Caleb Turon dann die Anleitung an einem Bankautomaten in einem nahe gelegenen Supermarkt testeten, erwarteten sie keinen Erfolg. Doch zu ihrer Überraschung fanden sie schnell das sechsstellige Standard-Passwort heraus und erlangten so Zugriff auf die Maschine. Lediglich einmaliges Raten war vonnöten, um den Automaten zu knacken. Die Neuntklässler benachrichtigten umgehend Bankmitarbeiter von ihrem Fund. Diese dachten zunächst, dass die beiden lediglich die PIN eines Kunden geknackt hatten.

„Ich sagte nur: ‚Nein, nein nein. Wir haben euren Bankautomaten geknackt. Wir haben Zugriff auf das Betriebssystem.‘“,

so Hewlett. Daraufhin verlangten die Bankmitarbeiter Beweismaterial.

„Also sind wir beide zurück zu dem Automaten und haben uns wieder Zugriff verschafft“,

so Hewlett.

„Dann habe ich Belegmaterial gedruckt: zum Beispiel, wie viel Geld derzeit im Automaten ist, wie viele Abhebungen an dem Tag stattgefunden haben, wie viel an Gebühren anfiel. Danach fand ich einen Weg, die Gebühr zu ändern und änderte sie zu einem Cent.“

Er änderte sogar den Begrüßungsbildschirm:

„Gehen Sie weg. Dieser Bankautomat wurde gehackt.“

Dankbar schrieb die Bank einen Brief an die Schule auf offiziellem Papier, um die Verspätung der beiden Jungen zu entschuldigen. Dies ist insofern bemerkenswert, als unter kanadischem und auch US-amerikanischem Gesetz jeder unautorisierte Zugriff auf einen Bankautomaten strafbar ist. Dabei sind Alter oder Absichten der Täter irrelevant.

Hackern mit guten Absichten, die Sicherheitslücken entdecken, wird geraten, nie ohne die vorige schriftliche Erlaubnis des jeweiligen Eigentümers in jedwedes Gerät einzudringen. In Extremfällen kann der Einbruch in einen Bankautomaten mit bis zu 20 Jahren Gefängnis (US)  bestraft werden. Der Ausgang des hier beschriebenen Vorfalls stellt eher eine Ausnahme als die Regel dar.

Artikel von arstechnica.com, 09.06.2014: Kids with operator’s manual alert bank officials: “We hacked your ATM”
Artikel von huffingtonpost.ca, 09.06.2014: BMO ATM Hacked Using ‚Default Password‘