Géant du traitement des cartes de paiement TSYS a subi une attaque de ransomware au début du mois. Depuis lors, des tonnes de données volées à l’entreprise ont été mises en ligne, les attaquants promettant d’en publier davantage dans les prochains jours. Mais la société affirme que le logiciel malveillant n’a pas compromis les données de la carte et que l’incident s’est limité aux domaines administratifs de son activité.
Basée à Columbus, en Géorgie, Total System Services Inc. (TSYS) est le troisième plus grand processeur de paiement tiers pour les institutions financières en Amérique du Nord et un processeur majeur en Europe.
TSYS fournit des services de traitement des paiements, des services marchands et d’autres solutions de paiement, notamment des cartes de débit prépayées et des cartes de paie. En 2019, TSYS a été acquise par la société de services financiers Global Payments Inc. [NYSE:GPN].
Le 8 décembre, le gang cybercriminel responsable du déploiement du Conti La souche de ransomware (également connue sous le nom de « Ryuk ») a publié plus de 10 gigaoctets de données qu’elle prétendait avoir supprimées des réseaux de TSYS.
Conti est l’un des nombreux groupes cybercriminels qui gère un blog qui publie des données volées aux victimes dans le but de forcer la négociation de paiements de rançon. Le gang affirme que les données publiées jusqu’à présent ne représentent que 15% des informations qu’il a déchargées de TSYS avant de faire exploser son ransomware au sein de l’entreprise.
Dans une réponse écrite aux demandes de commentaires, TSYS a déclaré que l’attaque n’affectait pas les systèmes qui gèrent le traitement des cartes de paiement.
« Nous avons subi une attaque de ransomware impliquant des systèmes qui prennent en charge certaines fonctions de back-office d’entreprise d’un ancien TSYS entreprise marchande », a déclaré TSYS. « Nous avons immédiatement maîtrisé l’activité suspecte et l’entreprise fonctionne normalement. »
Selon Conti, l’unité commerciale « héritée » de TSYS a été Caïanune entité acquise par TSYS en 2018 qui permet les paiements dans les magasins physiques et les emplacements mobiles, ainsi que le commerce électronique.
Conti affirme que les données de la carte prépayée ont été compromises, mais TSYS affirme que ce n’est pas le cas.
« Le traitement des transactions est effectué sur des systèmes séparés, s’est poursuivi sans interruption et aucune donnée de carte n’a été affectée », poursuit le communiqué. « Nous regrettons tout inconvénient que ce problème aurait pu causer. Cette question n’a pas d’importance pour l’entreprise.
TSYS a refusé de dire s’il avait payé une rançon. Mais selon Fabien Wosardirecteur technique d’une société de sécurité informatique EmsisoftConti ne publie généralement que les données des victimes qui refusent de négocier le paiement d’une rançon.
Certains groupes de rançongiciels sont passés à exiger deux paiements de rançon distincts ; un pour sécuriser une clé numérique qui déverrouille l’accès aux serveurs et ordinateurs retenus en otage par le ransomware, et un second en échange d’une promesse de ne pas publier ou vendre des données volées. Cependant, Conti n’a jusqu’à présent pas adopté cette dernière tactique, a déclaré Wosar.
« Conti vole presque toujours des données, mais nous ne les avons pas vus négocier séparément les fuites et les clés », a-t-il expliqué. « Pour les négociations que nous avons vues, cela a toujours été un prix pour tout (clés, suppression de données, pas de fuites, etc.). »
Selon un rapport publié le mois dernier par le Centre de partage et d’analyse d’informations sur les services financiers (FS-ISAC), un consortium industriel visant à lutter contre les cybermenaces, le secteur bancaire reste la cible principale des groupes de rançongiciels. FS-ISAC a déclaré qu’au moins huit institutions financières avaient été touchées par des attaques de ransomwares au cours des quatre mois précédents. Le rapport note que, de loin, Ryuk continue d’être la menace de ransomware la plus prolifique ciblant les entreprises de services financiers.