FBI varnar för bankomattömning där kontantautomater spottar ut sedlar på kommando

Att få en bankomat att ”jackpotta” – att på kommando spotta ur sig sedlar – har gått från att vara ett scennummer på säkerhetskonferenser till vardagsbrottslighet. Den amerikanska federala polisen FBI varnar nu för att verksamheten växer snabbt.

I ett säkerhetsmeddelande som nättidningen TechCrunch hänvisar till uppger FBI att fler än 700 jackpotting‑angrepp mot kontantautomater genomförts under 2025, med minst 20 miljoner dollar stulna. Mönstret är nedslående likartat: angriparna kombinerar fysisk åtkomst (allmänna nycklar, svaga lås, tillgång till interna anslutningar eller hårddiskar) med skadlig kod som tar kontroll över bankomatens programvara.

En skadlig kodfamilj som särskilt nämns är Ploutus, som riktar in sig på operativsystemet Windows som fortfarande körs i många bankomater. Tricket är inte att angripa kunders konton utan att kapa själva maskinen. Ploutus utnyttjar skiktet ”utökningar för finansiella tjänster”, en mellanprogramvara som bankomater använder för att tala med hårdvarukomponenter som knappsats för kod, kortläsare och sedelutmatning. När angriparen väl kan skicka sådana kommandon blir ”mata ut kontanter” bara ytterligare ett anrop.

FBI konstaterar att dessa uttag kan ske på minuter och att de ibland inte upptäcks förrän efteråt, när pengarna redan är borta. Övervakningen bygger ofta på efterhandsavstämning snarare än motståndskraft i realtid mot manipulation.

Detta är vad åldrande infrastruktur ser ut som när den möter motståndare som faktiskt får röra vid lådan. Branschens beslut att låta Windows‑baserade system stå kvar i fält i åratal är inte bara en teknisk eftersläpning utan ett incitamentsproblem. Banker och bankomatsoperatörer optimerar för drifttid, central hanterbarhet och inlåsning hos leverantörer. Nedsidan av fysisk kompromettering socialiseras ofta: den tas som förluster, försäkringsärenden eller ”driftskostnader” som i slutänden förs tillbaka till kunderna genom högre avgifter och stramare ”riskkontroller”.

Och dessa ”kontroller” är sällan de dyra, verkningsfulla. Att byta ut osäker hårdvara, konstruera om kapslingar, använda manipulationsindikatorer, härda uppstartskedjor eller ta i bruk särskilda säkerhetskomponenter kostar pengar och skapar friktion i underhållet. Den billigare reaktionen är övervakning och krångel: fler kameror, fler geografiska spärrar, mer transaktionsbevakning, fler identitetskontroller och fler begränsningar som drabbar skötsamma användare.

Jackpotting visar också att informationssäkerhet inte är en rent digital fråga. Angreppskedjan börjar med åtkomst: nycklar som inte borde finnas, paneler som öppnas för lätt, anslutningar som är nåbara, hårddiskar som kan bytas och system som litar på lokala kommandon. En bank kan föreläsa kunder om starka lösenord hur länge som helst; det hjälper inte när brottslingens ”lösenord” är en huvudnyckel och ett minne på en liten lagringssticka.

FBI:s varning pekar indirekt mot den verkliga lösningen: behandla bankomater som datorer med högt värde i en fientlig miljö. Tills dess lär branschen fortsätta föredra en strategi som sätter yta före substans: man utlovar ”förstärkta säkerhetsåtgärder” och skickar sedan räkningen vidare till allmänheten, en avgift i taget.