Terminal de paiement Costco Store violé par Data Skimmer

Costco Wholesale Corporation, une entreprise de magasins de détail à grande surface, a découvert une brèche dans l’un de ses terminaux de magasins de détail où un dispositif d’écrémage de carte était utilisé au comptoir de paiement pour écrémer des données.

En découvrant le dispositif d’écrémage de carte de paiement, la société a envoyé des lettres de notification informant les clients de la possibilité que les données de leur carte soient volées s’ils avaient effectué un achat récent dans ce magasin particulier.

Costco a déclaré : « Nous avons récemment découvert un dispositif d’écrémage de carte de paiement dans un entrepôt Costco que vous avez récemment visité. Nos dossiers de membres indiquent que vous avez glissé votre carte de paiement pour effectuer un achat sur le terminal concerné pendant la période pendant laquelle l’appareil a peut-être fonctionné.

“Si des parties non autorisées ont pu supprimer des informations de l’appareil avant qu’elles ne soient découvertes, elles peuvent avoir acquis la bande magnétique de votre carte de paiement, y compris votre nom, numéro de carte, date d’expiration de la carte et CVV”, a alerté Costco.

Data Breaches Digest : Costco Wholesale : une chaîne de vente au détail réservée aux membres américains révèle une violation de données après la découverte d’un dispositif d’écrémage de carte de paiement dans l’entrepôt https://t.co/uwiLNZH9QU

– 🏴󠁧󠁢󠁥󠁮󠁧󠁿🏴󠁧󠁢󠁳󠁣󠁴󠁿L’espace libre de Max🇨🇦🇺🇸 (@Custodela) 13 novembre 2021

Une inspection de routine des claviers d’identification a permis de détecter l’appareil par le personnel de Costco, et les organismes chargés de l’application de la loi ont été avisés.

Par mesure de précaution, la société a demandé à ses clients de vérifier leurs récents relevés bancaires et de carte de crédit pour déceler les frais ou les transactions non autorisés. En outre, il offre aux victimes des services de protection contre le vol d’identité IDX, qui offrent 12 mois de surveillance du crédit, une police de remboursement d’assurance de 1 million de dollars et des services de récupération de vol d’identité.

Le jeu d’écumage

L’appareil était censé être un appareil physique placé sur le scanner de cartes de paiement pour intercepter les détails des bandes magnétiques des cartes.

À une époque où les cyberattaques malveillantes telles que les ransomwares et les e-mails de phishing sont plus populaires, les méthodes à l’ancienne telles que les cartes d’écrémage de données sont moins connues. Des écumeurs numériques comme les attaquants de Magecart ont été découverts en train de distribuer des shells Web PHP, connus sous le nom de Smilodon ou Megalodon, déguisés en favicon pour obtenir un accès à distance aux serveurs ciblés.

Les chercheurs en sécurité de Malwarebytes avaient découvert le Magecart Group 12, un gang de cybercriminels surtout connu pour ses attaques contre les magasins en ligne, ciblant les magasins en ligne Magento pour voler les informations sensibles des clients. Magento est une plateforme de commerce électronique qui permet aux sites Web de créer leur boutique en ligne.

« Cette technique est intéressante car la plupart des outils de sécurité côté client ne pourront pas détecter ou bloquer le skimmer. Il existe plusieurs façons de charger du code d’écrémage, mais la plus courante consiste à appeler une ressource JavaScript externe. Lorsqu’un client visite une boutique en ligne, son navigateur demande un domaine hébergeant le skimmer. Bien que les criminels étendent constamment leur infrastructure, il est relativement facile de bloquer ces écumeurs en utilisant une approche de base de données de domaine/IP », a déclaré Malwarebytes.

En règle générale, ces transactions frauduleuses sont courantes dans les guichets automatiques, les pompes à essence et les terminaux de point de vente où les lecteurs de cartes sont manipulés pour stocker ou reproduire les détails des cartes glissées.

Alors que les réglementations en matière de pandémie se relâchent à l’échelle mondiale, les citoyens affluent dans les supermarchés, les chaînes de restaurants et d’autres services publics ainsi que les achats en ligne continus. La surface de la menace ne fait que s’étendre, et tout ce que nous pouvons faire est d’être vigilant et d’atténuer les risques avec des mesures de précaution pour empêcher l’écrémage des données.

A lire aussi : Nouvel écumeur « Baka » conçu pour échapper à la détection : Visa