Acer piraté : des cartes bancaires… et des cryptogrammes

« Nos serveurs chiffrent toutes les données que vous leur envoyez. Soyez donc assuré que vos informations de carte bancaire seront sécurisées ».

Ça, c’est la théorie, inscrite dans la foire aux questions assortie à la boutique en ligne d’Acer.

Dans la pratique, il y a eu un raté… et pas des moindres : des tiers ont pu accéder, pendant près d’un an, aux éléments renseignés par des clients localisés aux États-Unis, au Canada et à Porto Rico.

Le bilan s’élève à environ 34 500 victimes, notifiées ces derniers jours par une lettre (document PDF, 2 pages) également transmise au procureur général de Californie.

Au-delà des noms et des adresses postales de internautes qui ont réalisé un ou plusieurs achats entre le 12 mai 2015 et le 28 avril 2016, l’inquiétude porte sur les informations de paiement.

Les numéros de cartes bancaires ont effectivement fuité avec les dates d’expiration associées, ainsi que les cryptogrammes, ces codes à trois chiffres censés protéger contre une utilisation frauduleuse pour des transactions en ligne.

D’après un porte-parole d’Acer qui s’est confié à PCWorld, les données volées avaient été « stockées par inadvertance dans un format non sécurisé ».

Le groupe taïwanais dit avoir pris contact avec des experts en sécurité, joint les forces de l’ordre pour mener l’enquête et averti Digital River, la société de droit irlandais qui gère les paiements électroniques sur sa boutique en ligne.

Il ne semble pas y avoir de lien avec les piratages massifs recensés ces dernières semaines contre MySpace, LinkedIn et Tumblr.

Quant au bénéfice pour ceux qui sont parvenus à exploiter la faille, il est difficile à estimer. Les numéros de cartes bancaires ne s’échangent généralement que pour une poignée de dollars sur le marché noir, car ils peuvent facilement être suspendus en cas d’usurpation, au contraire d’un numéro de Sécurité sociale, qui représente une valeur sur le long terme.