Le jackpotting : cette attaque hybride qui vide les distributeurs automatiques de billets

Le jackpotting, c’est cette technique qui permet à des groupes organisés de faire sortir des liasses entières d’un distributeur automatique de billets sans carte bancaire, sans code PIN et souvent sans que l’alarme ne se déclenche tout de suite. En quelques minutes, parfois moins, des milliers d’euros disparaissent. Et le plus marquant, c’est que l’attaque mélange une intrusion physique assez basique avec un piratage logiciel ciblé.

C’est typiquement le genre de menace qui montre à quel point la cybersécurité ne peut plus se contenter de regarder les écrans : il faut aussi comprendre ce qui se passe quand quelqu’un ouvre la machine.

Comment fonctionne concrètement le jackpotting

Il existe deux grandes approches, qui se chevauchent souvent dans la pratique.

La première repose sur l’installation d’un malware directement dans le système du DAB. Les attaquants accèdent physiquement à l’appareil – soit avec des clés génériques qui circulent sur le marché, soit en forçant la façade avec une disqueuse ou des outils similaires. Une fois à l’intérieur, ils retirent le disque dur, y copient le malware ou le remplacent par un disque préchargé, puis remettent tout en place avant de redémarrer la machine.

Le logiciel, une fois actif, prend le contrôle direct du mécanisme de distribution. Il contourne les contrôles habituels d’autorisation bancaire et envoie des ordres directement au distributeur de billets. Plus besoin de transaction légitime ni de débit sur un compte client : la machine obéit.

L’autre méthode, souvent appelée black box ou black boxing, consiste à brancher un ordinateur portable ou un boîtier dédié sur les ports internes une fois la façade ouverte. Le logiciel maison communique alors directement avec la couche qui pilote le hardware. Les criminels reviennent ou font appel à des complices pour récupérer l’argent rapidement, avant que quiconque ne réagisse.

Dans les deux cas, ils prennent soin de masquer les caméras, d’agir de nuit et de limiter leur temps sur place.

Les failles qui rendent ces attaques possibles

Beaucoup de distributeurs automatiques tournent encore sur des versions anciennes de Windows, avec des logiciels et des firmwares qui ne sont pas toujours maintenus à jour. La couche XFS – ce standard qui permet aux applications de piloter les périphériques physiques du DAB – n’a pas été conçue à l’origine pour résister à des commandes non autorisées dès lors qu’on a un accès physique.

Ajoutez à cela des ports USB souvent laissés actifs, des disques durs parfois non chiffrés, des serrures standards et une hétérogénéité importante entre les modèles et les constructeurs… et vous obtenez des cibles relativement accessibles pour qui sait combiner les deux mondes.

Le point faible principal reste cette convergence entre accès physique et contrôle logiciel. Une fois que l’attaquant est devant la machine, les défenses réseau traditionnelles ne servent plus à grand-chose.

Des cas concrets qui montrent que la menace est réelle

En France, la Gendarmerie a démantelé en 2023 un réseau international actif dans le Sud-Ouest. Trois individus originaires d’Europe de l’Est ont été interpellés, avec un hacker opérant depuis l’étranger. Ils utilisaient la méthode black boxing sur une série d’appareils en Aquitaine, Poitou-Charentes et Occitanie. Bilan : au moins onze faits, un préjudice d’environ 80 000 euros, plus du matériel et des véhicules saisis.

Ailleurs, la tendance s’est nettement accentuée. Aux États-Unis, le FBI a publié en février 2026 une alerte forte : plus de 1 900 incidents de jackpotting recensés depuis 2020, dont plus de 700 rien qu’en 2025 pour des pertes dépassant 20 millions de dollars. Des groupes structurés, parfois liés à des organisations criminelles internationales, exploitent ces techniques à plus grande échelle. Le malware Ploutus, observé dès 2013 au Mexique, reste l’un des outils les plus cités dans ces affaires.

Pourquoi cette recrudescence ces dernières années

Parce que c’est rentable, relativement discret et que le risque pour les auteurs reste limité : pas de confrontation directe avec des clients ou des employés armés. Les malwares développés pour un modèle peuvent souvent être adaptés à d’autres avec peu de modifications. Et tant que les opérateurs de DAB ne traitent pas ces machines comme des systèmes critiques à part entière, le gisement reste intéressant pour les groupes qui ont déjà les compétences physiques et logicielles.

En Europe, les attaques purement malware ont plutôt diminué grâce à des durcissements, mais les méthodes hybrides persistent, surtout quand l’accès physique est facilité.

Comment durcir vraiment la défense des DAB

La protection efficace passe par une approche en couches, où la sécurité physique et la cybersécurité cessent de travailler en silos.

Côté physique, il faut remplacer les serrures génériques par des modèles propriétaires avec détection d’ouverture, installer des capteurs de vibration ou de température, multiplier les angles de caméra qui couvrent vraiment la machine et ajouter des barrières qui limitent l’accès au caisson et à la trappe de maintenance.

Côté logiciel et endpoint, les mises à jour régulières du firmware, de l’OS et des applications restent indispensables. Il faut désactiver les ports USB inutiles, mettre en place du whitelisting pour les périphériques et les exécutables, chiffrer les disques durs et activer les contrôles d’intégrité au démarrage. Surveiller les logs de façon centralisée permet de repérer rapidement les ouvertures non planifiées, les insertions USB suspectes ou les redémarrages anormaux.

Certaines institutions vont plus loin en déployant des solutions de détection comportementale, parfois dopées à l’IA, pour identifier les distributions de cash qui ne correspondent à aucun schéma normal. Et surtout, il faut documenter les plannings de maintenance pour que les équipes puissent repérer les anomalies en un coup d’œil.

Le vrai levier reste la collaboration entre les équipes qui s’occupent des serrures et des caméras et celles qui gèrent les endpoints et les logs. Le jackpotting exploite précisément le fossé qui existe encore trop souvent entre ces deux mondes.

Au bout du compte, tant que les distributeurs automatiques seront traités comme de simples meubles connectés plutôt que comme des systèmes critiques, ils continueront d’attirer ce type d’attaques hybrides. Les chiffres récents, en France comme ailleurs, montrent que les groupes criminels ont parfaitement intégré cette réalité. La question n’est plus de savoir si la menace existe, mais à quelle vitesse les opérateurs vont adapter leurs défenses à ce nouveau standard d’attaque.