美國制裁委內瑞拉犯罪組織 涉ATM現金攻擊與洗錢

核心要點

美國財政部外國資產控制辦公室（OFAC）於近日對委內瑞拉犯罪組織 Tren de Aragua（TdA） 相關的詐欺網路實施制裁，列入 8 名個人 與 2 家公司。制裁理由包括 ATM 吐鈔攻擊 與 洗錢，截至 2025 年 8 月，全美已通報超過 1,500 起 疑似攻擊，累計損失 4,073 萬美元。

背景與技術解析

FBI 透露，此次攻擊的核心惡意程式為 Ploutus，它利用 eXtensions for Financial Services（XFS） 軟體層直接操控 ATM 出鈔機構，繞過銀行授權，無需提款卡或客戶帳號即可讓機器自行吐鈔。

美國司法部公布的監視器畫面顯示，Anibal Alexander Canelon Aguirre 被指為此網路的主要策劃者，並透過 加密貨幣 交易將部分非法所得洗白。FBI 於 2024 年 2 月已警告，ATM 吐鈔攻擊呈上升趨勢；自 2020 年以來共收到 1,900 起 通報，僅 2025 年即超過 700 起，單年損失逾 2,000 萬美元。

影響與未來展望

此類攻擊不僅直接侵蝕金融機構的現金資產，亦削弱大眾對 ATM 安全性的信任。隨著惡意程式可直接呼叫 XFS 介面，傳統的卡片驗證與密碼防護已失效，金融業必須加速部署 硬體安全模組（HSM）、行為分析與多因素驗證等防護措施。

未來，若不加強跨國資安合作與資訊共享，類似的加密貨幣洗錢渠道仍可能被犯罪集團利用。對於一般消費者而言，留意 ATM 異常行為、定期檢查帳戶流水，並關注官方資安通報，將是降低風險的第一道防線。

資安日報與資安週報現已開放免費電子報訂閱，提供每日、每週的資安要聞，協助讀者即時掌握全球與臺灣的最新資安脈動。