Des sources du secteur financier affirment voir des signes indiquant que Reine laitière est peut-être la dernière chaîne de magasins à être victime de cyberescrocs déterminés à voler les données des cartes de crédit et de débit. Dairy Queen dit qu’il n’y a aucune indication d’une violation de carte dans l’un de ses milliers d’emplacements, mais la société reconnaît également que presque tous les magasins sont des franchises et qu’il n’y a pas de processus d’entreprise établi ou d’exigence que les franchisés communiquent les problèmes de sécurité ou les violations de carte à Dairy Quartier général de la reine.
Mise à jour, 28 août, 12 h 08 HE : Un porte-parole de Dairy Queen a confirmé que la société avait récemment entendu parler par les services secrets américains d' »activités suspectes » liées à une souche de logiciels malveillants voleurs de cartes trouvés dans des centaines d’autres intrusions dans le commerce de détail. Dairy Queen dit qu’il enquête toujours et travaille avec les autorités, et ne sait pas encore combien de magasins pourraient être touchés.
Histoire originale :
J’ai commencé à entendre parler d’une éventuelle violation de carte chez Dairy Queen il y a au moins deux semaines, mais je n’ai trouvé aucun signe corroborant – que ce soit en me cachant dans des « magasins de cartes » en ligne obscurs ou en discutant avec des sources du secteur bancaire. Au cours des derniers jours, cependant, j’ai entendu plusieurs institutions financières dire qu’elles faisaient face à un schéma de fraude sur des cartes qui ont toutes été récemment utilisées dans divers établissements Dairy Queen dans plusieurs États. Il y a aussi des indications que ces mêmes cartes sont vendues dans la clandestinité de la cybercriminalité.
Le dernier rapport dans les tranchées provenait d’une coopérative de crédit du Midwest des États-Unis. La personne en charge de la prévention de la fraude à cette coopérative de crédit m’a contacté pour savoir si j’avais entendu parler d’une infraction chez Dairy Queen, déclarant que l’institution financière avait détecté une fraude sur des cartes qui avaient toutes été récemment utilisées dans une demi-douzaine de Dairy Emplacements Queen dans et autour de son état d’origine.
Selon la coopérative de crédit, plus de 50 clients ont été victimes d’un blizzard de fraude par carte au cours des derniers jours seulement après avoir utilisé leurs cartes de crédit et de débit dans les établissements Dairy Queen – certains aussi loin que la Floride – et le modèle de fraude. suggère que les magasins DQ ont été compromis au moins dès le début de juin 2014.
« Nous sommes critiqués aujourd’hui », a déclaré mardi matin le responsable de la fraude à propos d’activités frauduleuses remontant aux cartes de membre utilisées dans divers sites Dairy Queen au cours des trois dernières semaines. « Nous recevons simplement toutes sortes de cas de fraude provenant de membres ayant des copies contrefaites de leurs cartes utilisées dans des magasins à un dollar et des épiceries. »
D’autres institutions financières contactées par ce journaliste ont été témoins de fraudes récentes sur des cartes qui ont toutes été utilisées dans les établissements Dairy Queen en Floride et dans plusieurs autres États, notamment l’Alabama, l’Indiana, l’Illinois, le Kentucky, l’Ohio, le Tennessee et le Texas.
Le vendredi 22 août, BreachTrace s’est entretenu avec Doyen Peters, directeur des communications de la chaîne de restauration rapide basée à Minneapolis. Peters a déclaré que la société n’avait entendu aucun rapport de fraude par carte dans les différents sites DQ, mais il a souligné que presque tous les magasins Dairy Queen étaient détenus et exploités de manière indépendante. Lorsqu’on lui a demandé si DQ exigeait que ses franchisés informent l’entreprise en cas de violation de la sécurité ou de problème avec leurs systèmes de traitement de cartes, Peters a répondu que non.
« Pour le moment, il n’y a pas une telle politique », a déclaré Peters. « Nous les aiderions si [any franchisees] nous a contacté au sujet d’une violation, mais jusqu’à présent, nous n’avons entendu aucun de nos franchisés dire qu’ils ont eu une quelconque violation. »
Julie Conroydirecteur de recherche au cabinet de conseil Groupe Aité, a déclaré que les entreprises nationales comme Dairy Queen devraient absolument avoir des politiques de notification des violations en place pour les franchisés, ne serait-ce que pour protéger l’intégrité de la marque et de l’image publique de l’entreprise.
« Il s’agit sans aucun doute d’un problème de protection de la marque », a déclaré Conroy. « Cela renvoie à l’éternel défi avec tous les petits commerçants. Même avec des entreprises comme Dairy Queen, où le navire-mère est énorme, chacun des établissements individuels est essentiellement des magasins maman-et-pop, et beaucoup de ces magasins ne pensent toujours pas qu’ils sont la cible de ce type de fraude. Par extension, le vaisseau-mère se concentre sur l’élevage d’un groupe de chats sous la forme de milliers de franchisés, et ils ne pensent pas que tous ces magasins sont des cibles pour les cybercriminels et qu’ils devraient avoir une sorte de politique à l’échelle de l’entreprise sur ce. En fait, les marques franchisées qui ont mis en place ce type de politique sont bien plus l’exception que la règle.
DEJA VU ENCORE?
La situation qui se développe apparemment avec Dairy Queen rappelle des rapports similaires du mois dernier de plusieurs banques sur la fraude par carte remontant à des dizaines d’emplacements de Chez Jimmy John, une chaîne nationale de sandwicheries qui appartient également presque entièrement à des franchisés. Jimmy John’s a déclaré qu’il enquêtait sur les allégations de violation, mais jusqu’à présent, il n’a confirmé aucun rapport de violation de carte dans l’un de ses plus de 1 900 magasins à l’échelle nationale.
L’avis du DHS/Secret Service.
Les rumeurs d’une violation de carte impliquant au moins une partie des 4 500 magasins nationaux indépendants de Dairy Queen surviennent de plus en plus avertissements vocaux du Département américain de la sécurité intérieure et le Service secretqui a déclaré la semaine dernière que plus de 1 000 entreprises américaines avaient été touchées par un logiciel malveillant conçu pour voler les données de carte de crédit des systèmes de caisse enregistreuse.
Dans cette alerte, les agences ont averti que les pirates scannaient les réseaux à la recherche de systèmes de point de vente dotés de capacités d’accès à distance (pensez Connexion et pcAnywhere), puis en installant des logiciels malveillants sur les appareils POS protégés par des mots de passe faibles et faciles à deviner. L’alerte a noté qu’au moins sept vendeurs/fournisseurs de points de vente ont confirmé avoir eu plusieurs clients touchés.
À peu près au moment où l’alerte des services secrets a été déclenchée, UPS Stores, une filiale du United Parcel Servicea déclaré avoir scanné ses systèmes à la recherche de signes du logiciel malveillant décrit dans l’alerte et trouvé des failles de sécurité cela peut avoir conduit au vol de données de crédit et de débit client dans 51 franchises UPS à travers les États-Unis (environ 1 % de ses 4 470 centres franchisés à travers les États-Unis). Incidemment, la façon dont UPS a géré cette divulgation de violation – clairement appeler les magasins individuels concernés – devrait servir de modèle pour d’autres entreprises aux prises avec des violations similaires.
En juin, j’ai écrit sur une série de violations de cartes impliquant des lave-autos à travers le pays. Les enquêteurs avec qui j’ai parlé en rapportant cette histoire ont déclaré que tous les emplacements piratés avaient une chose en commun : ils s’appuyaient tous sur des systèmes de point de vente qui avaient un accès à distance avec des mots de passe faibles activés.
Je suppose que certains emplacements Dairy Queen détenus et exploités par un groupe de franchisés particulier qui gère plusieurs magasins ont subi une violation, et que cet incident est limité à une fraction du total des emplacements Dairy Queen à l’échelle nationale. Malheureusement, sans des rapports meilleurs et plus opportuns des franchises individuelles au siège de DQ, il faudra peut-être encore un certain temps avant que nous découvrions toute l’histoire. En attendant, les franchises DQ qui n’ont pas connu de violation de carte pourraient voir leurs ventes en souffrir.
CARTE BLIZZARD BREWING ?
La semaine dernière, cette publication a été informée qu’un magasin de fraude bien établi dans le milieu de la cybercriminalité avait commencé à proposer un nouveau lot de cartes volées indexées pour la vente par l’État américain. Le type de données de carte principalement vendu par ce magasin – connu sous le nom de « dumps » – permet aux acheteurs de créer des copies contrefaites des cartes afin qu’elles puissent être utilisées pour acheter des biens (cartes-cadeaux et autres marchandises faciles à revendre) auprès de détaillants à grande surface, magasins à un dollar et épiceries.
De plus en plus, les fraudeurs qui achètent des données de cartes volées exigent que les cartes à vendre soient «géolocalisées» ou indexées géographiquement en fonction de l’État américain dans lequel se trouve l’entreprise compromise. De nombreuses banques bloqueront les transactions suspectes avec carte en dehors de l’État (surtout s’il s’agit d’une activité inhabituelle pour le titulaire de carte en question). Par conséquent, les fraudeurs ont tendance à préférer acheter des cartes volées à des personnes qui habitent à proximité.
Il s’agissait d’une innovation rendue populaire par le groupe central de cyberescrocs responsables de la vente de cartes volées lors de la violation de décembre 2013 chez Target Corp, qui impliquait quelque 40 millions de cartes de crédit et de débit compromises. Les mêmes fraudeurs répéteraient et affineraient cette innovation en vendant des dizaines de milliers de cartes volées en février 2014 à la chaîne nationale de produits de beauté Sally Beauty.
Ce magasin de décharges particulier illustré à droite semble être géré par un groupe de fraude complètement distinct du gang qui a frappé Target et Sally Beauty. Néanmoins, ce mois-ci, il a ajouté son premier nouveau lot de cartes consultables par État américain. Deux institutions financières différentes contactées par BreachTrace ont déclaré que les cartes qu’elles avaient acquises auprès de ce magasin sous ce nouveau nom de lot « géo » avaient toutes été utilisées récemment dans différents sites Dairy Queen.
Le premier lot de cartes consultables par l’État dans ce magasin de cartes particulier semble avoir été mis en vente pour la première fois le 11 août et comprenait un peu plus de 1 000 cartes. Le deuxième lot a fait ses débuts une semaine plus tard et a introduit plus de deux fois plus de cartes volées. Un troisième lot de plus de 5 000 cartes de ce lot a été mis en vente tôt ce matin.
Une publicité dans la boutique proxénétisme d’un nouveau lot de cartes géolocalisées apparemment volées dans les magasins Dairy Queen.