Vente de feu sur les cartes volées dans Target Breach

L’infraction de l’an dernier à Cible Corp. inondé les marchés clandestins de millions de cartes de crédit et de débit volées. Dans les jours entourant la divulgation de la violation, les cartes portaient des étiquettes de prix inhabituellement élevées – en grande partie parce que peu de banques avaient encore décidé d’annuler l’une d’entre elles. Aujourd’hui, tDeux mois après la violation, le nombre de cartes volées invendues qui n’ont pas été annulées par les banques émettrices diminue rapidement, obligeant les malfaiteurs derrière ce braquage historique à décharger d’énormes volumes de cartes sur des marchés clandestins et à des prix réduits.

Les cartes volées lors de la violation de Target sont devenues beaucoup moins chères, car elles sont de plus en plus refusées ou annulées par les banques émettrices.

Plus tôt dans la journée, le magasin de cartes souterrain Rescator[dot]a donc déplacé au moins 2,8 millions de cartes volées à des acheteurs basés aux États-Unis lors de la violation de Target. Ce morceau de cartes, surnommé « Cage de castor” par Rescator, était le dernier des dizaines de lots de cartes volées à Target qui sont en vente dans la boutique depuis début décembre.

Le prix du lot de cartes Beaver Cage a chuté de 70% par rapport à ceux de «Tortuga,” un énorme morceau de plusieurs millions de cartes volées à Target qui se sont vendues entre 26,60 $ et 44,80 $ chacune dans les jours précédant le 19 décembre – le jour où Target a reconnu une infraction. Aujourd’hui, ces mêmes cartes se vendent désormais à des prix allant de 8 $ à 28 $. Les plus anciens lots de cartes volées lors de l’infraction Target – c’est-à-dire les premiers lots de cartes volées vendus – figurent en haut de la légende dans le graphique ci-dessus ; les lots « plus récents », bien que moins frais, sont en bas.

La principale raison de la baisse des prix semble être la baisse du « taux valide » associé à chaque lot. Les cartes de la base de Tortuga étaient annoncées comme «100% valides», ce qui signifie que les clients qui ont acheté dix cartes dans le magasin pouvaient s’attendre à ce que les 10 fonctionnent lorsqu’ils allaient les utiliser chez les détaillants pour acheter des appareils électroniques, des cartes-cadeaux et d’autres articles à prix élevé. qui peut être rapidement revendu au comptant.

Cependant, ce dernier lot de cartes Beaver Cage n’a qu’un taux de validité de 60%, ce qui signifie qu’en moyenne, les clients peuvent s’attendre à ce qu’au moins 4 cartes sur 10 qu’ils achètent reviennent refusées ou annulées par la banque émettrice.

Le dernier lot de cartes Beaver Cage – publié par Rescator le 6 février – comprenait près de 4 millions de cartes volées à Target et affichait un taux de validité de 65%. Avant Beaver Cage, les cartes Target portaient le nom de code « griffe d’aigle.” Le 29 janvier, Rescator a lancé 4 millions de cartes portant le nom Eagle Claw et un taux de validité de 70 %. Les deux premiers lots de cartes de marque Eagle Claw – un morceau de 2 millions de cartes – ont été publiés le 21 janvier avec un taux de validité signalé de 83%.

Réscateur[dot]so card shop vous annonçant la disponibilité de nouvelles bases de cartes Target.

FRET PORTUAIRE

Le même schéma peut être observé dans une autre violation majeure de 2013. En m’appuyant à peu près sur la même méthode que celle que j’ai utilisée pour valider la violation de Target, j’ai contacté plusieurs institutions financières pour déterminer si d’autres lots de cartes vendus par les différents magasins de Rescator pouvaient être attribués à des violations spécifiques. en 2013.

Effectivement, il n’a pas fallu longtemps pour identifier la brèche du milieu de l’été 2013 à Outils de fret portuaire comme source d’au moins deux lots majeurs (ils sont appelés « bases » dans les magasins de cartes, et non des lots) de cartes vendues par les magasins Rescator l’année dernière. À partir de fin juin 2013, Rescator a commencé à vendre une base appelée « Lépide», mettant de nouveaux lots de cartes Lepid sur le marché presque chaque semaine par tranches de 100 000 cartes à la fois.

Tout comme pour la violation de Target, les cartes Lepid étaient initialement annoncées comme étant valides à 100 % et étaient accompagnées d’un prix élevé. Mais à la mi-juillet 2013, les taux valides avaient commencé à baisser à 95 %, probablement parce qu’à ce moment-là, les banques avaient commencé à voir la fraude et à annuler les cartes. Un mois plus tard, les taux valides étaient inférieurs à 75 %, et au moment où la violation de Target a été divulguée en décembre, moins de la moitié des cartes étaient encore actives.

Les prix des cartes volées lors de la violation de Harbor Freight Tools chutent à mesure que davantage de cartes reviennent en baisse.

Fin juillet, Harbour Freight divulgué une violation de son système de carte de paiement qui a duré sept semaines entre le 6 mai et le 30 juin 2013. La société n’a pas précisé combien de cartes clients ont été volées, mais à partir du volume de cartes Lepid poussées sur la boutique de Rescator ainsi que celles d’autres bases liées à des cartes toutes utilisées à Harbor Freight pendant la période de brèche (y compris les bases « Laurentius » et « Sidonius »), il est probable qu’elles aient été de plusieurs millions.

Les données des outils Target et Harbour Freight soulèvent plusieurs questions. Pour commencer, pourquoi le taux de validité a-t-il diminué beaucoup plus rapidement avec les cartes Target qu’avec celles volées à Harbor Freight ? Après tout, il a fallu près de six mois pour que les taux valides sur les cartes volées à Harbor Freight atteignent 50 %, alors que nous approchons déjà rapidement de ce taux avec les cartes Target deux mois seulement après la divulgation de cette violation. Je suppose que la réponse évidente est probablement la bonne : que la violation de Target a simplement reçu beaucoup plus d’attention, à la fois de la part des médias et des banques émettrices de cartes à l’échelle nationale.

Cela signifie-t-il que les violations Target et Harbor Freight sont liées ? Je n’en ai aucune idée, même si je soupçonne fortement que Rescator et sa joyeuse bande de voleurs ont joué un rôle clé dans les deux infractions – au-delà du simple déchargement des cartes volées. Dans plusieurs cas, Rescator lui-même a qualifié Lepid de « notre » base, indiquant que le lot provenait d’une source de première main.

L’analyse de certains des logiciels malveillants utilisés dans la violation de Target suggère que Rescator pourrait avoir été directement impliqué dans cette attaque. Je n’ai aucun indice de ce genre sur la brèche de Harbor Freight ; la société n’a pas répondu aux demandes de commentaires, et Mandiant – la société médico-légale qui a été appelée pour enquêter sur la violation de Harbour Freight – a refusé de commenter.

Enfin, un certain nombre de personnes avec qui j’ai partagé cette recherche se sont demandées pourquoi toutes les cartes soupçonnées d’avoir été volées lors de l’infraction chez Target n’auraient pas déjà été annulées par les banques émettrices. La précision des taux valides de Rescator n’est pas claire – Rescator a certainement tout intérêt à truquer les chiffres.

Mais en supposant que les pourcentages sont relativement précis, de nombreux facteurs pourraient expliquer pourquoi certaines banques n’ont pas simplement annulé et réémis toutes les cartes potentiellement touchées par la violation. Une source avec laquelle j’ai parlé plus tôt cette année d’un émetteur de cartes assez important a déclaré que son institution n’avait toujours pas réémis au moins 40% de ses cartes affectées par la violation de Target. La source a déclaré que ces cartes appartenaient généralement à deux catégories : les cartes qui n’avaient été rééditées que récemment avant la découverte de la violation de Target, et celles qui devaient naturellement atteindre leur date d’expiration au cours du mois suivant.

Je dois noter que l’analyse ci-dessus ignore plusieurs millions de cartes non américaines volées à des acheteurs cibles et vendues sous l’international « Barberousse” étiquette (la valeur aberrante en orange du premier graphique ci-dessus), qui à un moment donné a atteint des prix supérieurs à 120 $ par carte.