L’un des magasins les plus populaires du métro numérique pour le trafic d’informations de cartes de crédit volées a commencé à vendre un lot de plus de trois millions de nouveaux enregistrements de cartes cette semaine. BreachTrace a appris que les données avaient été volées lors d’une longue violation de données à plus de 100 Restaurant barbecue Dickey endroits à travers le pays.
Une publicité sur le site de cardage populaire Joker’s Stash pour « BlazingSun », que les experts en fraude ont retracé à une violation de carte au Dickey’s BBQ.
Lundi, le bazar de carding Joker’s Stash a fait ses débuts « Soleil de plomb», un nouveau lot de plus de trois millions de cartes volées, annonçant des « taux valides » compris entre 90 et 100 %. Il s’agit généralement d’un indicateur que le commerçant victime d’une violation n’est pas au courant de la compromission ou qu’il vient tout juste de commencer à y répondre.
Plusieurs entreprises qui suivent la vente de données de cartes de paiement volées affirment avoir confirmé auprès des institutions financières émettrices de cartes que les comptes à vendre dans le lot BlazingSun ont un thème commun : tous ont été utilisés à divers Le barbecue de Dickey emplacements au cours des 13 à 15 derniers mois.
BreachTrace a contacté pour la première fois Dickey’s, basé à Dallas, le 13 octobre. Aujourd’hui, la société a partagé une déclaration indiquant qu’elle était au courant d’un éventuel incident de sécurité de carte de paiement dans certains de ses restaurants :
« Nous avons reçu un rapport indiquant qu’un incident de sécurité de carte de paiement pourrait s’être produit. Nous prenons cet incident très au sérieux et avons immédiatement initié notre protocole de réponse et une enquête est en cours. Nous nous concentrons actuellement sur la détermination des lieux concernés et des délais concernés. Nous utilisons l’expérience de tiers qui ont aidé d’autres restaurants à résoudre des problèmes similaires et travaillons également avec le FBI et les réseaux de cartes de paiement. Nous comprenons que les règles du réseau de cartes de paiement prévoient généralement que les personnes qui signalent en temps opportun des frais non autorisés à la banque qui a émis leur carte ne sont pas responsables de ces frais.
Les confirmations sont venues de Miami Cyber Q6 et Conseil Gémeaux a New York.
Q6Cyber PDG Eli Dominitz a déclaré que la violation semble s’étendre de mai 2019 à septembre 2020.
« Les institutions financières avec lesquelles nous avons travaillé ont déjà constaté un nombre important de fraudes liées à ces cartes », a déclaré Dominitz.
Gemini affirme que ses données indiquent que quelque 156 emplacements de Dickey dans 30 États ont probablement eu des systèmes de paiement compromis par des logiciels malveillants de vol de cartes, avec la plus grande exposition en Californie et en Arizona. Gemini met la fenêtre d’exposition entre juillet 2019 et août 2020.
« Low-and-slow » décrit avec justesse la violation de carte chez Dickie, qui a persisté pendant au moins 13 mois.
Avec la menace d’attaques de ransomware qui fait la une des journaux, il peut être tentant de supposer que les voleurs de cartes de crédit sont passés à des activités plus lucratives. Hélas, les bazars de la cybercriminalité comme Joker’s Stash ont continué à exercer leur métier, sans se laisser décourager par les pressions des associations de cartes de crédit pour encourager davantage de commerçants à installer des lecteurs de cartes de crédit qui nécessitent des cartes de paiement à puce plus sécurisées.
C’est parce qu’il existe d’innombrables restaurants – généralement des franchises d’une chaîne de restaurants établie – qui doivent décider eux-mêmes si et à quelle vitesse ils doivent effectuer les mises à niveau nécessaires pour tremper la puce plutôt que de balayer la bande.
« Dickey’s fonctionne sur un modèle de franchise, qui permet souvent à chaque emplacement de dicter le type d’appareil de point de vente (POS) et de processeurs qu’il utilise », a écrit Gemini dans un article de blog à propos de l’incident. « Cependant, étant donné la nature généralisée de la violation, l’exposition peut être liée à une violation du processeur central unique, qui a été exploitée par plus d’un quart de tous les sites de Dickey. »
Bien qu’il y ait eu des rapports sporadiques sur des criminels compromettant les systèmes de paiement à puce utilisés par les commerçants aux États-Unis, la grande majorité des données de carte de paiement à vendre dans le cybercrime clandestin sont volées à des commerçants qui utilisent encore des cartes à puce.
Ce n’est pas une conjecture; des données relativement récentes des magasins de cartes volées eux-mêmes le confirment. En juillet, BreachTrace a écrit sur une analyse par des chercheurs de L’Université de New Yorkqui a examiné les schémas entourant plus de 19 millions de cartes de paiement volées qui ont été révélées après le piratage de BreachtraceClub, l’un des principaux concurrents du magasin de cartes Joker’s Stash.
Les chercheurs de la NYU ont découvert que BreachtraceClub avait généré près de 104 millions de dollars de revenus bruts de 2015 au début de 2019 et répertorié plus de 19 millions de numéros de cartes uniques à vendre. Environ 97% de l’inventaire était constitué de données de bande magnétique volées, couramment utilisées pour produire des cartes contrefaites pour les paiements en personne.
Visa et MasterCard ont institué de nouvelles règles en octobre 2015 qui mettent les détaillants sur le compte de toutes les pertes associées à la fraude par carte contrefaite liée aux violations s’ils n’ont pas mis en place de lecteurs de cartes à puce et imposé le trempage de la puce lorsqu’un client se présente une carte à puce.
Dominitz a déclaré qu’il n’avait jamais imaginé en 2015, lorsqu’il a fondé Q6Cyber, que nous verrions encore autant de marchands confrontés à des violations de données basées sur des bandes magnétiques.
« Il y a cinq ans, je ne m’attendais pas à ce que nous soyons dans cette position aujourd’hui avec la fraude par carte », a-t-il déclaré. « On pourrait penser que l’industrie en général aurait fait une plus grande brèche dans cette économie souterraine il y a quelque temps. »
Vous en avez assez de faire réémettre votre carte de crédit et de mettre à jour vos enregistrements de paiement sur d’innombrables sites de commerce électronique chaque fois qu’un restaurant que vous fréquentez a une infraction ? Voici une idée radicale : la prochaine fois que vous visiterez un restaurant (d’accord, si cela se reproduit après le COVID, etc.), demandez-leur s’ils utilisent des lecteurs de cartes à puce. Sinon, envisagez de prendre vos affaires ailleurs.