Даже если вы прикрываете клавиатуру банкомата рукой это не гарантия безопасности пин-кода вашей карты. Исследователи доказали, что искусственный интеллект способен угадывать 4-значные пин-коды карт в 41% случаев. Ему подвергаются даже 5-значные пин-коды.

Чтобы научить алгоритм нужна достаточно весомая подготовка. Атака требует полной копии целевого банкомата, поскольку обучение алгоритму для конкретных размеров и интервалов между кнопками разных клавиатур имеет решающее значение.

Затем алгоритм учится распознавать нажатия клавиш и назначать определенные вероятности для кнопок, которые он не способен точно выявить. Для этого используются видео, на которых люди вводят пин-коды на клавиатуре банкомата.

Для эксперимента исследователи собрали 5800 видеороликов 58 разных людей с разной демографией. На них вводили 4-значные и 5-значные PIN-коды.

Обучение искусственному интеллекту выполнялось на сервере Xeon E5-2670 со 128 ГБ оперативной памяти и три Tesla K20m по 5 ГБ оперативной памяти каждый.

В пределах трех попыток, что обычно является максимально допустимым количеством попыток до блокировки карты в банкомате, исследователи смогли отгадать правильную последовательность для 5-значных пин-кодов в 30 % случаев и достигли 41% для 4-значных кодов.

Для распознавания модель может использовать то, как рука, не печатающая текст, покрывает другую руку. Также анализируется как движется другая рука, оценивая топологическую расстояние между двумя клавишами.

Расположение камеры, которая фиксирует попытки, играет ключевую роль. Установка камеры-обскуры в верхней части банкомата была определена как лучший подход для злоумышленника.

Если камера способна захватывать звук, искусственный интеллект угадывает пин-коды эффективнее, дополняя свои догадки обратной связью по звуку. Звук немного отличается для каждой цифры.

Этот эксперимент доказывает, что прикрытие контактной площадки другой рукой недостаточно для защиты от атак, основанных на глубоком обучении, но можно применить некоторые контрмеры.

Во-первых, если банк предоставляет вам возможность выбрать 5-значный PIN-код вместо 4-значного, выберите более длинный. Это может быть труднее запомнить, но это гораздо безопаснее против атак такого рода.

Во-вторых, процент покрытия рук значительно влияет на точность прогнозирования. Охват 75% дает точность 0,55 для каждой попытки, в то время как полный охват (100%) снижает точность до 0,33.

Третий контрмер требует изменения в банкоматах. Они могли бы предоставить пользователям виртуальную и рандомизированную клавиатуру вместо стандартной механической.

Интересно, что исследователи попросили 78 добровольцев угадать нажатые клавиши. В среднем участники опроса угадывали с точностью всего 7,92%, что неэффективно для проведения атак такого типа.