Après Target : un nouveau malware cible les lignes de caisses

Après Target, UPS. Des centres de services du réseau franchisé américain UPS Store ont été la cible d'un logiciel malveillant (malware) conçu pour aspirer les détails de cartes bancaires. UPS a confirmé mercredi 20 août que 51 boutiques dans 24 états, soit près de 1% de ses 4 470 centres franchisés aux États-Unis, ont été touchées par « une intrusion à grande échelle ».

Le gouvernement US lance l'alerte

C'est un bulletin d'alerte, émis le 31 juillet dernier par le Département de la sécurité intérieure et les services secrets américains, qui a mis la puce à l'oreille d'UPS. Il a été diffusé au moment de la mise en ligne d'un avertissement du CERT-US et de la publication d'une analyse technique par la société Trustwave SpiderLabs du malware « Backoff » ou de l'une de ses variantes non détectées par les antivirus. Les malwares de cette famille ont notamment la capacité de copier des données en mémoire et d'enregistrer les frappes au clavier.

Alerté par le bulletin de l'administration américaine, UPS a déclaré hier avoir « engagé une firme de sécurité informatique et procédé à un examen de ses systèmes et des systèmes de ses centres franchisés ». Chaque centre proposant des services aux entreprises (expédition, impression, boîtes postales, etc.) est géré de manière indépendante et utiliserait un réseau privé indépendant. Malgré tout, les données bancaires et d'autres informations clients (noms et coordonnées) pourraient avoir été exposées entre le 20 janvier et le 11 août 2014. Le nombre de titulaires de cartes concernés n'a pas été communiqué par la société. La facture pourrait être très élevée, si l'on en croit les récentes attaques qui ont destabilisé de puissants acteurs économiques américains.

Target, un précédent qui coûte cher

En décembre 2013, c'est la chaîne américaine de magasins Target qui a été victime d'une attaque informatique sans précédent ayant permis d'exfiltrer plus de 40 millions de numéros de cartes de crédit. Depuis les procès s'enchaînent à l'encontre du distributeur. Par ailleurs, deux de ses dirigeants, la DSI Beth Jacob puis le CEO Gregg Steinhafel, ont démissionné. Au début de ce mois d'août, un autre vol massif de données a été révélé par la société de conseil américaine Hold Security. Dans cette affaire 1,2 milliard de comptes utilisateurs et mots de passe, 500 millions d'adresses e-mail et 420 000 sites ont été piratés par un groupe de hackers russes.

UPS n'ignore pas le danger. « Dès que nous avons pris connaissance de la potentielle intrusion par un logiciel malveillant, nous avons déployé d'importantes ressources pour combattre et éliminer ce problème rapidement. Nos clients peuvent être assurés que nous avons identifié et entièrement contenu l'incident », a déclaré Tim Davis, président du réseau The UPS Store, une filiale du transporteur. Sur un site dédié, le groupe encourage ses clients à suivre de près l'activité de leurs comptes bancaires. UPS proposera aux personnes impactées un service gratuit de protection d'identité et de surveillance des comptes 12 mois durant.

La France, sauvée par ses cartes à puce ?

Visa a publié plusieurs alertes de sécurité et confirmé l'augmentation des intrusions dans les réseaux de détaillants américains en 2013. Les États-Unis sont une cible de choix pour le piratage de cartes bancaires. Contrairement à la France où s'est imposée la carte à puce, la première économie mondiale utilise encore des cartes bancaires dotées d'une simple piste magnétique où sont stockées les informations. Informations qu'un pirate peut facilement copier après avoir infecté les terminaux de caisse. De plus, les codes PIN sont rarement utilisés - une signature suffit pour conclure la transaction - ce qui rend le dispositif vulnérable. Pour limiter la fraude, Visa, Mastercard et consorts envisagent de remplacer progressivement les pistes magnétiques par des puces. La migration est estimée à 8 milliards de dollars.

Lire aussi

Sécurité : piratés, les magasins Target font face à une kyrielle de procès

Sécurité : 5 questions pour comprendre le vol de 1,2 milliard d'identifiants