Target : le chemin vers les caisses commence chez un prestataire

Pendant les achats de fin d’année 2013, des clients de Target paient normalement dans les magasins américains de l’enseigne. Un logiciel malveillant présent dans les systèmes de caisse collecte pourtant des données de paiement. En décembre, l’entreprise annonce qu’environ 40 millions de comptes de cartes peuvent avoir été concernés.

La reconstitution publiée par une commission du Sénat décrit l’utilisation d’identifiants dérobés à un prestataire, puis une progression vers les systèmes de Target. Le rapport s’appuie sur les informations publiques et les analyses alors disponibles ; il ne doit pas être présenté comme le rapport forensique intégral et définitif de l’entreprise.

Le piège se situe notamment dans les chemins accessibles après la première connexion. Un compte destiné à un partenaire ne devrait pas donner une voie simple vers les équipements traitant les paiements. La séparation des zones et l’examen des alertes deviennent des questions centrales.

Les données interceptées sont regroupées puis emportées hors du réseau. Cette sortie est distincte d’un débit immédiat et identique de chaque carte. Les personnes concernées peuvent ensuite subir des tentatives de fraude, mais le nombre de cartes exposées n’est pas un montant total effectivement volé aux clients.

Target enquête, retire le logiciel malveillant et travaille avec les acteurs des paiements et les autorités. D’autres informations personnelles sont aussi concernées ; les populations peuvent se recouper et ne doivent pas être simplement additionnées comme autant de personnes différentes.

L’affaire rend visible une idée souvent abstraite : la sécurité d’un grand réseau peut commencer par les identifiants d’une petite entreprise qui doit légitimement y accéder. La taille de la victime ne dit pas où se trouve le premier maillon compromis.