Con un solo cable y un minuto, un hacker ético logró controlar por completo un popular terminal de pago

Los terminales de pago fabricados por Worldline, utilizados de manera generalizada en Suiza, resultaron vulnerables a un ataque que permite obtener el control completo del dispositivo en solo un minuto. El problema detectado afecta al modelo Worldline Yomani XR, instalado en supermercados, cafeterías, talleres y otros puntos de aceptación de tarjetas. A pesar del nivel externo de protección y del diseño antivandálico pensado, el terminal concede acceso root sin contraseña a través del puerto de servicio si un atacante obtiene acceso físico.

El análisis mostró que en el panel trasero del terminal hay un conector de depuración sin uso, oculto bajo una pequeña tapa. Al conectarle un cable serie común y arrancar el dispositivo, el especialista vio el arranque estándar de Linux. El terminal funciona con el núcleo de la versión 3.6, compilado con Buildroot a principios de 2023, con las utilidades BusyBox y las bibliotecas uClibc. Al final del arranque, en la consola serie aparece un aviso de inicio de sesión. Al introducir "root", se puede acceder inmediatamente al intérprete de comandos del sistema sin ninguna autenticación.

Físicamente, el dispositivo está construido con un alto grado de protección. Emplea un procesador de doble núcleo basado en la arquitectura Arm, placas compactas y un sistema complejo de detección de manipulaciones. Los intentos de abrir la carcasa o taladrar la placa activan los mecanismos de protección, incluidos el bloqueo irreversible y la visualización de una pantalla roja. Una batería independiente permite mantener la protección incluso cuando se corta la alimentación.

Sin embargo, la vulnerabilidad hallada eludía todas esas medidas: el interfaz de depuración no estaba protegido. Esto permitió acceder al entorno Linux no cifrado, responsable de la interacción en red y de la lógica de negocio. Un segundo entorno, más protegido, ejecutado en un procesador dedicado, controla el teclado, la pantalla y el lector de tarjetas, y solo se activa si se cumplen las condiciones de seguridad. Aunque no es posible controlarlo directamente desde el intérprete de Linux, el acceso al primer entorno representa igualmente un peligro: se puede inyectar código malicioso, interceptar el tráfico de red o impedir las actualizaciones del sistema.

Al momento de la publicación no hay casos confirmados de compromiso de datos de usuarios a través de esta vulnerabilidad; sin embargo, los expertos subrayan la gravedad del problema. Se notificó al proveedor Worldline y, según información de fuentes abiertas, la falla ya fue corregida en versiones posteriores del firmware.

No obstante, la vulnerabilidad detectada señala un problema más amplio: fallas similares pueden encontrarse también en terminales de otros fabricantes. Los interfaces de servicio no protegidos, dejados para diagnóstico o mantenimiento, con frecuencia se convierten en el eslabón débil incluso en dispositivos cuidadosamente diseñados. Por eso, al diseñar e implementar masivamente soluciones de pago, es importante considerar no solo la resistencia criptográfica y las medidas antivandálicas, sino también eliminar cualquier vía de acceso no autorizada, incluidos los puertos de depuración y los conectores de prueba.