Pour la deuxième fois depuis août 2013, le détaillant en ligne NoMoreRack.com a embauché une équipe de criminalistique informatique après avoir été informé par Discover d’une violation potentielle des données de la carte client, a appris BreachTrace.
Au cours des dernières semaines, un certain nombre de banques ont partagé des informations avec ce journaliste indiquant qu’elles constatent une fraude sur des cartes qui ont toutes été récemment utilisées par les clients de nomorerack.com. Il s’avère que nomorerack.com a également entendu cela et, pour la deuxième fois au cours des sept derniers mois, a fait appel à des enquêteurs extérieurs pour vérifier les signes d’une effraction numérique.
Vishal Agarwaldirecteur du développement commercial du détaillant en ligne basé à New York, a déclaré que la société avait été approchée pour la première fois par Discover Card en août 2013, lorsque l’association des cartes a déclaré qu’elle avait isolé nomorerack.com comme un point de compromis probable.
« Ils ont alors demandé que nous passions par un audit médico-légal, et nous l’avons fait fin octobre en nous engageant avec Trustwave », a déclaré Agarwal. « Trustwave a publié un rapport à la fin du mois d’octobre indiquant qu’il n’y avait aucune preuve claire que nos systèmes avaient été compromis. Quelques bogues mineurs ont été signalés, mais aucune preuve concluante de quoi que ce soit qui ait causé une fuite dans nos systèmes.
Puis, le mois dernier, NoMoreRack a de nouveau entendu Discover, qui a déclaré qu’entre le 1er novembre 2013 et le 15 janvier 2014, la société avait déterminé qu’il y avait eu plus d’incidents de fraude liés aux cartes qui étaient toutes utilisées sur le site en ligne de la société. boutique.
« Ainsi, depuis la semaine dernière, nous nous sommes à nouveau engagés avec Trustwave pour subir un autre audit », a déclaré Agarwal. « Nous avons entendu les plaintes des banques, mais à part cela, et nous avons fait notre analyse et notre diligence raisonnable, et nous ne pouvons rien trouver de sérieux qui aurait pu entraîner la compromission des cartes clients. »
NoMoreRack s’est également engagé auprès de Trustwave pour s’assurer que ses systèmes sont conformes aux normes de l’industrie des cartes de paiement (PCI), un ensemble d’exigences conçues pour garantir que toutes les entreprises qui traitent, stockent ou transmettent des données de carte de crédit maintiennent un environnement sécurisé.
Aux fins de la conformité PCI, les commerçants appartiennent à l’un des quatre niveaux. Les tiers correspondent au volume de cartes qu’un marchand traite par an : Par exemple, les marchands de niveau 1 sont ceux qui traitent plus de 6 millions de transactions par an. Les marchands de niveau 4, à l’autre extrémité du spectre, sont ceux qui traitent moins de 20 000 transactions de commerce électronique par an.
Tous les commerçants qui gèrent les transactions par carte de crédit doivent être conformes à la norme PCI, mais la plupart sont en mesure de certifier eux-mêmes qu’ils sont conformes. Seuls les marchands de niveau 1 doivent être audités par un « évaluateur de sécurité qualifié » indépendant ou QSA. Cependant, les entreprises qui s’auto-certifient et qui subissent ultérieurement une violation peuvent être tenues par leur banque de se placer dans la catégorie Tier-1 et de se soumettre à une évaluation QSA.
Agarwal a déclaré que NoMoreRack est maintenant en train de se certifier cette fois en tant que marchand de niveau 1, même si le nombre de cartes de crédit et de débit qu’il a traitées en 2013 l’a placé carrément dans la gamme de niveau 2.
« Ce que nous avons également fait, c’est que nous nous sommes engagés avec Trustwave pour effectuer un audit complet de conformité PCI », a déclaré Agarwal. « Non seulement nous passons par un autre audit médico-légal, mais nous passerons par le niveau 1 de conformité PCI, juste pour nous assurer que nos systèmes sont sécurisés et que nous faisons tout notre possible pour protéger les données des consommateurs. Nous espérons que Trustwave pourra nous orienter dans la bonne direction afin que nous puissions combler les lacunes qui existent déjà.
NoMoreRack a considérablement augmenté depuis sa création en octobre 2010. En 2012, la société a réalisé des ventes en ligne de plus de 100 millions de dollars ; à la fin de l’année dernière, les ventes avaient atteint 340 millions de dollars par an. Il est possible que cette croissance rapide ait contribué à la mauvaise réputation des plaintes des consommateurs contre le détaillant en ligne. C’est-à-dire au moins selon le Better Business Bureauce qui donne à NoMoreRack une note de « F » (la pire).