Archives par mot-clé : cb

Fuite de données

Piratage : distribution gratuite de CB ! Avez-vous été piraté ?

Des pirates diffusent gratuitement des données bancaires de français. Le blog ZATAZ permet aux propriétaires d’être alertés pour se protéger le plus rapidement possible.

Chaque jour, sa série de fuite de données personnelles. Le blog ZATAZ vient d’alerter les internautes français d’une diffusion de données bancaires par comme les autres. Le lanceur d’alerte a découvert dans un espace pirate fort de plus de 500 membres, le partage de données bancaires de plusieurs dizaines de français et françaises.

Pour savoir si vous êtes dans la liste, ZATAZ.COM et son Service de veille proposent les informations diffusées par les pirates.

Dans le fichier que ZATAZ a pu découvrir, et en plus des 16 chiffres de la CB, de la date de validité et du pictogramme présent à l’arrière de la carte bancaire, les pirates affichent aussi l’identité du propriétaire légitime, son adresse postale, sa date de naissance et son numéro de téléphone. « Difficile pour ZATAZ de contacter les propriétaires. Dans ce cas, pas d’adresses électroniques comme nous avons déjà pu le montrer dans via d’autres découvertes comme cette méthode pirate pour passer outre la double authentification. » explique le blog.

Avec les informations fournies par ZATAZ, les internautes ont de quoi savoir si, oui ou non, ils sont dans les mains des hackers.

Cybersécurité, Paiement en ligne

Pipka, le voleur de données bancaires sur site marchand

A la veille des fêtes de fin d’année, voici venir Pipka, un outil pirate voleur de données bancaires à partir des boutiques en ligne qu’il infiltre.

En septembre 2019, le programme Visa Payment Fraud Disruption (PFD) a identifié un nouvel outil pirate baptisé Pipka. Un skimmer JavaScript. Un voleur de données bancaires.

Pipka cible les données de paiement saisies dans les formulaires de paiement de commerce électronique des sites marchands. Le blog ZATAZ nous relatait ce type de malveillance électronique en 2018 et 2019.

Identification de Pipka sur seize sites marchands compromis. Contrairement aux précédents skimmers JavaScript, Pipka est capable de se retirer du code HTML du la site Web compromis après son exécution. Cela diminue ainsi la probabilité de détection.

Pipka, petit frère d’Inter

Semblable au skimmer JS Inter, le nouveau code pirate permet aux cybercriminels de configurer les champs de formulaire.

L’outil pirate analyse et extrait les données. Bilan, numéro de compte de paiement, date d’expiration, CVV, identités, adresse du titulaire de la carte sont copiés directement via la page légitime ! Le « pirate » vérifie les champs configurés avant l’exécution.

Le code malveillant s’injecte directement à divers endroits sur le site du commerçant. Les données chiffrées en ROT13.

L’aspect le plus intéressant et unique de Pipka est sa capacité à ne pas être présent dans le code HTML. Cela permet un mode fantôme efficace !

Que faire pour s’en protéger ? Compliqué tant la technique est efficace. Préférez des boutiques passant par des sites bancaires. Et espérer que votre commerçant soit au taquet du côté de sa cybersécurité, de son code et de sa veille ! (PFD)

Cyber-attaque, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage

30.000 $ de café avec des cartes bancaires volées au Department of Homeland Security

Piratage informatique ou « simple » vol de données bancaires au Department of Homeland Security ? Un audit annonce 30.000$ de Starbucks achetés avec des cartes bancaires volées à ce ministère sensible américain.

Piratage ou « simple » vol par des agents du Department of Homeland Security ? Le bureau de l’inspecteur général du ministère de la sécurité intérieure a déclaré dans son rapport d’audit que quelqu’un a soit piraté ou volé les cartes de crédit du ministère et les a utilisé pour acheter du café chez  Starbucks. Un voleur étonnant, qui a dû laisser des traces.

Le Department of Homeland Security a refusé de commenter la façon dont beaucoup de ses cartes de crédit ont été piratées ou volées, mais a confirmé le vol d’informations des cartes en question, entre 2013 et 2014.

Ce n’est pas la première fois que le département de la Sécurité intérieure est sous le coup d’un vol de données. Dans le passé, les dossiers de 25.000 et 390.000 employés avaient été piratés lors de cyber-attaques. (NBC)

Banque, BYOD, Cloud, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, Sauvegarde, Social engineering

Piratage de données bancaires pour le groupe Hôtelier Trump ?

Une alerte concernant une importante fuite de données bancaires touche le groupe Hôtelier du milliardaire américain Donald Trump.

Décidément, l’ambiance n’est pas à la fête pour le milliardaire américain Donald Trump. Son concours de Miss USA vient d’être rejeté des chaines de télévisions Univision et NBC après des propos racistes du candidat aux présidentielles américaines. Donald Trump considérant les migrants mexicains comme des personnes dangereuses.

L’homme d’affaire doit faire face à un nouveau problème de taille. Il semble que ses hôtels ont été victimes d’un piratage informatique. Pour le moment le groupe hôtelier n’a pas confirmé. Par la bouche de son vice-président, Eric Trump, l’entreprise explique enquêter sur de très nombreuses plaintes concernant des utilisations frauduleuses de cartes bancaires de clients.

D’après une enquête en cours au sein de Visa et MasterCard, plusieurs hôtels Trump sont concernés dont ceux de Chicago, Honolulu, Las Vegas, Los Angeles, Miami, et New York. Un pirate serait passé par un serveur centralisateur ? Les premières fuites ont été détectées en Février à 2015.

En mars 2015, c’était le groupe Mandarin Oriental d’être touché par une fuite de données. En avril, et pour la seconde fois en 1 an, le White lodging.

Argent, backdoor, Banque, Cybersécurité, Emploi, Entreprise, escroquerie, Fuite de données, Paiement en ligne, Particuliers, Social engineering

166816, le code secret qui pirate 90% des lecteurs de CB

Voilà qui est amusant. Le code secret de notre carte bancaire est un précieux sésame qu’il vaut mieux garder au secret. Il faudrait, maintenant, que les banques obligent le changement des mots de passe des lecteurs de cartes bancaires que l’on trouve dans les boutiques, restaurants, …

Si je vous dit 166816 ou encore Z66816, vous aller vous demander ce que sont ces mystérieux codes. La réponse est malheureusement très simple. Ils représentent 90% des mots de passe usine trouvés dans des lecteurs de cartes bancaires. Des lecteurs disposés chez les commerçants.

Des chercheurs de Trustwave, un cabinet spécialisé dans la cybersécurité, ont découvert que 9 propriétaires sur 10 de lecteurs de CB n’avaient pas modifié le mot de passe de leur boitier. Des mots de passe qui existent depuis … 1990.

Charles Henderson, de chez TrustWave, explique qu’un pirate, armé de ces mots de passe était
capable d’atteindre un accès à l’administration des lecteurs de cartes et, pour les plus joueurs, installer un code malveillant. Pour arriver à cette inquiétante conclusion, les chercheurs ont étudié les terminaux de cartes de crédit de plus de 120 détaillants du pays.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Justice, Leak, loi, Paiement en ligne, Particuliers, Piratage, Vie privée

25 pirates arrêtés dans une opération internationale

Les autorités roumaines ont arrêté vingt-cinq cybercriminels qui s’apprêtaient à s’attaquer aux données bancaires de millions de personnes.

Les pirates présumés agissaient en Roumanie, mais aussi en Belgique, Canada,  Colombie, République dominicaine, Égypte, Estonie, Allemagne, Indonésie, Italie, Lettonie, Malaisie, Mexique, Pakistan, Russie, Espagne, Sri Lanka, Thaïlande, Ukraine, Émirats arabes unis, Royaume-Uni, Etats-Unis. Data Security Breach a appris que la France a été concernée par ce « gang », sans en avoir pour le moment, la confirmation officielle.

Les présumés pirates s’attaquaient aux banques et fabriquaient des clones de cartes bancaires. Ils auraient retiré plus de 15 millions de dollars via des transactions frauduleuses effectués dans 24 pays différents. Si 25 membres de cette équipe ont été arrêtés, il en resterait 27 dans la nature. C’est la Direction des enquêtes sur la criminalité organisée et le terrorisme (DIICOT), le FBI roumain. Pour éviter la détection, les pirates accéléraient le processus en faisant plusieurs petites transactions sur une courte période, généralement le week-end.

En 2013, par exemple, les pirates ont pu retirer 9 millions de dollars via des guichets automatiques situés dans tout l’archipel du Japon. Le 2 décembre 2013, 42000 transactions, via des Distributeurs de billets automatiques, dans 15 villes roumaines différentes, pour un montant de 5 millions de dollars en espèces.

Dimanche 26 avril, les autorités roumaines ont exécuté 42 mandats de perquisition à travers six villes, saisissant des ordinateurs portables, des téléphones mobiles, et 150,000€ en en espèces, des lingots d’or et des peintures. Une opération qui fait suite à l’annonce des services secrets américains à l’encontre de la campagne CyberHeist qui avait permis à des pirates de mettre la main sur 45 millions de dollars en janvier 2013. En mai 2013, 8 pirates (qui semblent liés à gang roumain) se retrouvaient dans les mains de la justice américaine. Ils avaient retiré 2,8 millions de dollars en quelques heures, via des distributeurs de billets de New-York.

Argent, Banque, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Leak, Paiement en ligne, Particuliers, Piratage, Social engineering

Piratage de données bancaires dans un cinéma

Du matériel d’interception de données de cartes bancaires découvert dans un cinéma de Toulouse. Le skimmeur a pu toucher des centaines de cinéphile.

Le skimming, depuis plusieurs années, fait de gros dégâts dans les rangs des utilisateurs de cartes bancaires. Il est important de rappeler les dangers de ce genre de matériel, un skimmeur permet d’intercepter les informations contenues sur la bande magnétique de votre carte bancaire. Des données qui seront recopiées sur une carte vierge. Pour le mot de passe, une mini caméra, un faux clavier, ou le simple fait que le malveillant regarde les 4 chiffres taper par sa victime suffisent à finir l’attaque. Le pirate possède un clone parfait de votre CB. Il n’a plus qu’à la réutiliser ou revendre le clone sur le marché noir 2.0, le Black Market.

C’est cette attaque qui a été découverte à Toulouse, dans le cinéma Gaumont Wilson. Trois individus ont été interpellés. Trois hommes d’origines roumaines (les skimmers de cette région sont malheureusement très répandus, NDR). D’après les autorités locales (SRPJ), c’est le second cas en France visant un Guichet Automatique de Billets installés dans un cinéma. Prudence, un skimmer peut s’installer sur le lecteur d’une pompe à essence, d’un parking, d’un péage…

Si placer votre main au-dessus du code que vous allez rentrer est une bonne solution, assurez-vous tout de même que rien ne bouge sur le Distributeur Automatique de Billets. Boitier de réception de votre carte ; plaque des mots de passe ; Au moindre doute, ne tapez rien. (La Dépêche)

Argent, Banque, Cybersécurité, Identité numérique, Paiement en ligne, Twitter

Faille pour Twitter : effacer les données bancaires

Un commentaire

Plusieurs failles permettent de faire disparaître les données bancaires enregistrées dans Twitter par les annonceurs publicitaires.

Twitter permet d’enregistrer des données bancaires dans la partie ads.twitter.com, le service publicitaire du gazouilleur 2.0. Un internaute, qui se fait appeler Security Geek, a découvert comment faire disparaître les données des cartes bleues sauvegardées dans Twitter Ads par les annonceurs. La vulnérabilité était très critique car il suffisait de posséder l’identifiant de la carte de crédit pour la supprimer. Un identifiant composé uniquement de 6 chiffres tels que « 098289 ». Il aurait suffit qu’un malveillant travaille sur un petit code en python, qui aurait utilisé une simple boucle sur 6 chiffres, pour supprimer les CB qui lui seraient passés sous la souris. Un moyen de calmer le chiffre d’affaire publicitaire de Twitter. « Le plus drôle est que la page de réponse, après la manipulation, affichait une erreur « 403 forbbiden », s’amuse l’inventeur de la faille, Ahmed Aboul-Elamais. La carte de crédit était réellement supprimée du compte« . Une seconde faille permettait de faire croire à Twitter la mauvaise utilisation d’une CB. Bilan, le piaf effacé la vraie CB du compte officiel qui l’employait.

Argent, Banque, Chiffrement, cryptage

Les banques peuvent désactiver le paiement sans contact

La France compte, depuis avril 2014, pas moins de 21 millions de cartes bancaires permettant le paiement sans contact. Des CB imposées par les banques. Elles embarquent la technologie NFC qui permet, en plaçant sa CB à quelques centimètres d’un lecteur dédié, de payer sans être obligé de taper son mot de passe. Une possibilité qui inquiètent depuis 2012, quand un chercheur Français, Renaud Lifchitz, a présenté lors de feu HES 2012 la faille qui permet de lire les données « cachées » dans le précieux bout de plastique.

Il faut dire aussi que les banques ont lancé un service qui n’est ni chiffré, ni contrôlé par un quelconque moyen d’identification. 01net (le site web), revient sur cette technologie en indiquant que les banques auraient fait un stock de protection anti-NFC (Voir l’utilité de ce genre de protection dans ZATAZ WEB TV, ndlr).

Pourquoi cette faille n’est toujours pas corrigée ? « c’est impossible à moins de changer l’architecture technique sous-jacente, ce qui serait beaucoup trop cher » dixit les chercheurs. 01net explique aussi que La Banque de France a demandé aux sociétés financières de fournir un anti-NFC dés que le client en fait la demande.

La Banque de France oblige également les banques à mettre en place la désactivation du NFC à la demande des clients. Le coût de l’opération serait de 10€ par carte indique un expert en sécurité. Après renseignements de DataSecuritybreach.fr auprès de plusieurs banques, les sociétés renvoient les CB pour modification. Autant dire que cela coûte plus de 10 euros !

Il aura fallu une plainte de la CNIL pour que certaines informations disparaissent des communications NFC : nom du client, historique des transactions.

Entreprise, Fuite de données, Leak

2,6 millions de CB piratés chez Michaels

En mars dernier, plusieurs grandes enseignes américains annonçaient le pirate de plusieurs millions de données bancaires. Des pirates informatiques étaient passés par là. Alors que les chiffres tombés, la société Michaels étaient averti du probable passage dans ses serveurs d’un visiteur malveillant. L’entreprise, après deux mois d’enquête, vient de confirmer le vol d’environ 2.6 millions de données de cartes de paiement. Les données compromises : numéros de CB, la date d’expiration pour les cartes de paiement. Michaels indique dans son communiqué de presse « Qu’il n’existe aucun preuve de la consultation (par le pirate, Ndr) des noms, codes PIN et autres adresses des adresses ». Le piratage aurait eu lieu entre le 8 mai 2013 et le 27 Janvier 2014. L’entreprise déclare que ce piratage n’a touché que 7% des cartes utilisées dans les magasins Michaels au cours de cette période. A noter que, toujours selon le service presse de l’enseigne, une filiale de l’enseigne Aaron Brothers a également été touchée entre le 28 juin 2013 et le 27 février 2014. Une violation informatique qui a ciblé 54 de ses boutiques pour environ 400.000 cartes. La société parle d’un malware « identifié et bloqué. Ce malware ne présente plus aucune menace lors de vos achats chez Michaels ou Aaron Brothers« .

Selon une étude publiée par le Pew Research Center (1), 18% des américains ont été victimes en 2014 d’un vol de données en ligne. Il s’agit notamment d’informations sensibles telles que des numéros de sécurité sociale, des numéros de cartes de crédit et d’autres infos bancaires. Le chiffre est en augmentation de 11% par rapport à 2013. Cette hausse des vols a touché tous les groupes d’âge, bien que les utilisateurs les plus impliqués aient entre 18 et 29 ans. La recherche PEW a également montré que 5 % des Américains sont préoccupés par la quantité de renseignements personnels en ligne. Le pourcentage était de 33% en 2009. La hausse n’est toutefois pas surprenante, étant donnée l’utilisation croissante des réseaux sociaux et autres services en ligne.

Sécurité: le vol de données en ligne se développe aux États-Unis
Au-delà de ces mauvaises nouvelles, cette information a le mérite de sensibiliser les utilisateurs sur la nécessité et le devoir de naviguer en toute sécurité. Outre l’affaire Heartbleed et après les 2,9 millions de comptes impliqués dans l’attaque sur Adobe en octobre dernier et les 4,6 millions de comptes Snapchat piratés en février, les utilisateurs se doivent être de plus en plus conscients des enjeux.

A noter qu’en France, peu ou pas de communication des sociétés victimes de fuites, piratages, … Ne pensez pas que ce genre d’attaque n’existe pas, bien au contraire, malheureusement. Nous vous en parlons souvent. Il est bon de rappeler l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille est découverte. « Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement. » indique la CNIL.