”OPERAZIONE REMOTE ATM”

Con l’interrogatorio richiesto dall’indagato si è conclusa l’operazione “REMOTE ATM” coordinata dal Sost. Proc. della Repubblica presso il Tribunale di Ancona dott. Ruggiero Dicuonzo.

Questi i fatti e le indagini svolte dalla polizia delle comunicazioni.

Agli inizi dell’anno 2015 venivano raccolte segnalazioni da parte di Istituti bancari  locali, inerenti alcuni ammanchi di denaro contante emersi, nel corso degli anni 2012-2014, ai danni di ATM degli stessi Istituti.

Al momento delle rilevazioni degli ammanchi, i funzionari in servizio presso predetti istituti,  ipotizzando che gli stessi fossero stati vittime di furto, avevano sporto denuncia  presso  diverse  Stazioni dei Carabinieri  territorialmente competenti.

A seguito di ulteriori controlli, effettuati unitamente alle due  società che erogano i servizi informatici ai predetti istituti ed ai fornitori hardware e software dei sistemi ATM, sono emersi alcuni dati relativi ad un accesso da remoto al sistema di gestione di uno sportello; entrambe le predette  società provvedevano ad effettuare le opportune verifiche allo scopo di individuare eventuali anomalie e decidevano di interessare questo personale.

Le società I.T.C. riferivano che nessun dettaglio utile era emerso dall’analisi dei registri dell’ATM, visto che tutte le operazioni risultavano correttamente contabilizzate e che non vi era quindi alcuna traccia di un eventuale ammanco. Personale del Compartimento di polizia postale e comunicazioni procedeva all’analisi del disco rigido contenuto nello sportello ATM, riuscendo a riscontrare la presenza di tracce relative ad alcuni accessi da remoto, avvenuti utilizzando l’applicativo VNC (un software di controllo remoto che viene utilizzato per amministrare un computer a distanza), in due distinte  giornate del mese di novembre 2014.

L’indirizzo IP utilizzato dalla postazione remota dalla quale aveva avuto origine la connessione era un  indirizzo  di classe privata appartenente alla rete gestita dalla società che eroga i servizi informatici ai predetti istituti.

La risoluzione dell’indirizzo IP, emerso in sede di accertamento quale origine della sessione di accesso remoto tramite VNC verso lo sportello di una banca locale, rimandava  alla postazione informatica di uno dei due tecnici che curano la manutenzione degli ATM, per conto di una delle   società che erogano servizi informatici; secondo quanto appurato da questi operatori di polizia , l’utilizzo del VNC per l’assistenza agli sportelli bancomat non costituisce una prassi abituale né codificata in alcun modo da eventuali protocolli in essere.

Da un successivo monitoraggio delle sessioni VNC verso gli sportelli ATM, è emerso che entrambi gli indirizzi IP dei tecnici manutentori di ATM effettuano quella tipologia di traffico e che i MAC address (ossia l’indirizzo identificativo della scheda di rete) e le porte sono quelli associati alle postazioni effettivamente loro assegnate.

I successivi accertamenti permettevano di appurare che uno dei tecnici aveva predisposto un PC, collegato alla medesima intranet degli ATM di varie banche locali, posto in ascolto di connessioni remote gestite da un  software denominato TeamViewer.

A tale PC era possibile connettersi da un dispositivo mobile collegato alla rete internet sfruttando il servizio di tethering offerto da uno smartphone.

Preliminarmente lo stesso aveva proceduto ad installare su una directory temporanea del disco rigido Al sistema informatico dell’ATM - target  veniva collegato un tool eseguibile “scaricato”  sulla macchina fisicamente collegata  al dispensatore.

Una volta realizzato il collegamento alle predette condizioni  uno di essi,  risultava possibile predisporre il conteggio e l’erogazione delle banconote per un importo corrispondente agli ammanchi denunciati.

Il set di comandi, inoltre, a sicurezza dell’operatore autore dei reati, non permettevano la registrazione delle operazioni informatiche relative all’attività delittuosa sui files di log da parte del software che gestisce l’ATM.

Per ricapitolare la procedura attuata prevedeva il collegamento tra il dispositivo mobile (pc portatile) tramite TeamViewer al PC attestato sulla stessa rete informatica degli ATM e prendendo il controllo di questo, utilizzando il software VNC installato su detto PC, controllare in remoto l’ATM e procedere alle operazioni anzidescritte. Durante gli interventi le bocchette di erogazione del contante rimanevano facilmente accessibili al tecnico dall’interno del locale ove sono posti gli ATM che, tra l’altro, non sono vigilati da videosorveglianza. Il momento e gli importi, non erano predeterminati ma erano invece individuati a seconda degli interventi che si presentavano in determinati momenti di difficoltà economica.

Per confortare le evidenze investigative emerse venivano effettuati ulteriori riscontri investigativi, utilizzando i tabulati delle celle telefoniche interessate alle macchine dove erano stati riscontrati gli ammanchi di denaro , nonchè i dati relativi alla percorrenza autostradale registrati dal Telepass. A seguito di quanto circostanziatamente annotato dal personale investigativo, veniva disposta dal PM titolare dell’indagine la perquisizione domiciliare e locale che permetteva di riscontrare e ulteriormente corroborare le ipotesi investigative.

Successivamente al sequestro e’ stato visionato il contenuto del disco rigido presente all’interno del PC portatile del tecnico e sono emerse inequivocabili tracce relative all’utilizzo dello strumento di controllo remoto, nelle date e orari di inizio e fine delle sessioni, anche dell’account di sistema dell’utilizzatore e della modalità di utilizzo.

In particolare è emersa evidentemente  la corrispondenza  tra le date di utilizzo del software di controllo remoto e quelle in cui si sono stati segnalati alcuni degli ammanchi.

Durante l’interrogatorio, richiesto dall’indagato stesso, il tecnico ha ammesso tutte le sue responsabilità motivate dalla necessità di far fronte ad impellenti debiti di gioco.