Ziel: Der Weg zu Registrierkassen beginnt bei einem Dienstleister

Während der Käufe zum Jahresende 2013 zahlen Target-Kunden normalerweise in den US-amerikanischen Geschäften der Marke. Schadsoftware in Kassensystemen sammelt jedoch Zahlungsdaten. Im Dezember gab das Unternehmen bekannt, dass etwa 40 Millionen Kartenkonten betroffen sein könnten.

Die von einem Senatsausschuss veröffentlichte Nachstellung beschreibt die Verwendung gestohlener Identifikatoren für einen Anbieter und dann eine Progression in Richtung Target-Systeme. Der Bericht basiert auf öffentlich zugänglichen Informationen und Analysen; er sollte nicht als vollständiger und endgültiger forensischer Bericht des Unternehmens präsentiert werden.

Die Falle befindet sich in den nach der ersten Verbindung zugänglichen Pfaden. Ein Konto für einen Partner sollte keinen einfachen Weg zur Zahlungsverarbeitungsausrüstung bieten. Die Trennung der Zonen und die Prüfung von Warnmeldungen werden zu zentralen Themen.

Die abgefangenen Daten werden aggregiert und dann aus dem Netzwerk genommen. Diese Ausgabe unterscheidet sich von einer sofortigen und identischen Belastung jeder Karte. Die betroffenen können dann betrugsversuche erleben, aber die anzahl der exponierten karten ist nicht eine gesamtmenge, die tatsächlich von kunden gestohlen wurde.

Target untersucht, entfernt die Malware und arbeitet mit Zahlungsakteuren und Behörden zusammen. Andere persönliche Informationen sind ebenfalls betroffen; Populationen können sich überschneiden und sollten nicht einfach wie so viele verschiedene Menschen addiert werden.

Der Fall macht eine oft abstrakte Idee sichtbar: Die Sicherheit eines großen Netzwerks kann mit den Identifikatoren eines kleinen Unternehmens beginnen, das rechtmäßig darauf zugreifen muss. Die größe des opfers sagt nicht, wo der erste kompromittierte link ist.