Piratage massif de cartes bancaires – USA : Carrefour et Dexia pris dans le piège

Ce jeudi 25 juillet, les autorités américaines ont annoncé l’inculpation de cinq pirates qui seraient impliqués dans un piratage massif de cartes bancaires.

Le ministère de la Justice présente cette affaire comme la plus dévastatrice en termes de vols de données jamais recensée aux Etats-Unis.

Le groupe pirate, composé d’individus de nationalité russe et ukrainienne, auraient subtilisé près de 160 millions de numéro de carte bancaires aux Etats-Unis, au Canada et en Europe.

La liste des firmes ou institutions financières victimes de la fraude est impressionnante : NASDAQ, 7-Eleven, Carrefour, JCP, Hannaford, Heartland, Wet Seal, Commidea, Dexia, JetBlue, Dow Jones, Euronet, Visa Jordan, Global Payment, Diners Singapore et Ingenicard.

Les cas de Dexia (banque franco-belge) et du groupe français de grande distribution Carrefour suscitent une certaine curiosité en raison de la proximité géographique de ces enseignes.

Ainsi, selon le document d’inculpation rendu public par le tribunal de Newark (New Jersay), Carrefour aurait été délesté d’environ « 2 millions de numéros de carte de crédit » depuis 2007.

Paul J. Fishmann, procureur fédéral de district, évoque une « opération criminelle extrêmement pointue dont les effets économiques et sur la vie privée sont réels« .

Le montant du préjudice à l’international pourrait dépasser les 300 millions de dollars (et s’ajouter aux dégâts économiques de la cybercriminalité que McAfee se propose de mesurer).

Comment ce groupe pirate a agi ? Il semblerait que les individus ont exploité des faiblesses dans les bases de données des systèmes d’administration des différents groupes attaqués.

En effectuant des attaques par injection SQL dans ces bases de données, ils ont pu créer des failles suffisantes pour installer un malware sur les serveurs de leurs cibles.

Ce dernier leur permettait de copier les données des utilisateurs des différents services de transaction bancaires pris pour cible.

Les numéros de carte de crédits récupérés étaient ensuite revendus entre 10 et 50 dollars (en fonction de leurs origines) à des receleurs qui les revendaient à leur tour sur Internet.

D’après le tribunal de Newark, certains numéros de cartes ont aussi été cédés à des « caissiers », des personnes chargées d’encoder de nouvelles cartes de crédits à partir des données subtilisées pour qu’elles soient utilisables ailleurs que sur Internet.

C’est une enquête de l’United States Secret Service (USSS) qui a permis le démantèlement du réseau et l’inculpation des criminels déjà connus des services judiciaires américains pour des affaires similaires.

« Comme on le voit pour cette affaire, le Secret Service continuera d’appliquer des techniques novatrices pour étudier les méthodes et arrêter les cyber-criminels transnationaux« , précise James Mottola, agent de l’USSS en charge de l’affaire.

Actuellement, deux des 5 accusés ont été arrêtés aux Pays-Bas à la demande des Etats-Unis le 28 juin 2012.

Les trois autres criminels sont toujours en fuite et recherchés par l’USSS en relation avec Interpol.

S’ils sont condamnés, les individus peuvent être condamnés à quatre reprises. Grosso modo, ils encourent une peine de 10 ans cumulés au maximum pour deux délits relatifs à l’accès illégal à des ordinateurs » et 60 ans pour deux délits liés à la fraude informatique.

——–Quiz——–

Hacking, phishing, spamming? La sécurité sur internet n’a pas de secret pour vous ?

———————

Crédit photo : nobeastsofierce pour Shutterstock