Un pirate informatique met en vente plusieurs millions de données volées sur le web. Dans la liste, des clients de Pixmania, Eidos, eHarmony.
Décidément, la petite boutique carder.biz, espace de black market, ne finit plus d’attirer les pirates à la petite semelle. Depuis quelques semaines, un “internaute“, tente de vendre sur le portail pirate des millions de données clients appartenant aux sites eHarmony, Eidos, diversitybusiness, mais aussi à la boutique Française Pixmania. Les informations sont commercialisée entre 2000 et 3000 dollars via les bases de données qu’a ponctionné le e-voleur. Une méthode simple, et qui ne demande aucun savoir faire.
Une faille de type injection SQL, un logiciel permettant d’automatiser l’injection et il ne reste plus qu’à pomper les bases de données ! D’après le chercheur en sécurité Brian Krebs, 1.500.000 de données d’américains, membres de diversitybusiness.com sont en vente. Eidos a lancé une enquête. Pixmania et DiversityBusiness n’ont pas encore communiqué sur le sujet. Il semble que le pirate soit le même qui a mis la main, en décembre dernier, sur les informations appartenant aux 30 millions de membre du site de rencontres, PlentyOfFish. Comme l’indiquent plusieurs rapports, les injections SQL sont devenues la plaie du web.
“Les nouvelles armes des pirates informatiques à l’assaut des secrets des entreprises“
Des pirates informatiques ont inventé un logiciel qui ne laisse aucune chance aux serveurs Internet. En quelques clics de souris, il est possible de prendre en main les données privées et sensibles sauvegardées sur les serveurs d’entreprises ! Un tour de passe-passe digne d’un David Copperfield de l’informatique ? Pas vraiment, les e-voleurs sont aujourd’hui équipés de logiciels étonnants. De véritables passe-partout électroniques à l’image du logiciel H’j3v (Le nom a été modifié, NDR), un programme créé par des bidouilleurs iraniens. Ces derniers proposent plusieurs versions de leur création. Une gratuite, et la seconde, commercialisée 350 $.
H’j3v ne paie pas de mine. Quelques boutons en anglais; deux/trois onglets; aucun mode d’emploi. Pourtant, derrière ces quelques bits, une arme redoutable qui devrait permettre aux responsables informatiques de réfléchir à deux fois sur la sécurité de leurs serveurs. Dans le cas de cet « outil », il en existerait plusieurs dizaines du même type sur la toile, il suffit de rentrer une adresse Internet trouvée via le moteur de recherche Google. « Le plus terrible, souligne François (un pseudonyme), un bidouilleur informatique, Il suffit de quelques mots clés dans Google pour établir le lien qui ouvrira les portes du site que je cible ».
Bilan de cette opération banale, le logiciel informatique se charge de trouver le point d’entrée à la base de données de n’importe quel site Internet. Opération que ce software effectue en moins de trois secondes. Vous avez bien lu, n’importe quel site Internet équipé d’une base de données est en danger. Il suffit qu’un script du site soit faillible à un injection SQL et le tour est joué !
Vicieux, l’outil décortique une par une les tables d’enregistrements sauvegardées dans les bases de données. En quelques secondes, selon les configurations des sites et serveurs web, les identités, les adresses physiques, les courriels, les adresses ip, les messages laissés par les employés et les visiteurs des sites concernés apparaissent. Dans le pire des cas, les commandes et les données bancaires sont consultables à souhait. « Aujourd’hui, souligne François, une base de données peut se revendre très chère. Si je mets la main sur des adresses électroniques, je les revends à des spammeurs. Si j’accède à des données bancaires. Il existe sur la toile des espaces privés où il est possible de revendre, échanger, acheter ce type de prestations. Il m’est arrivé de toucher plus de 4,000 euros par mois en revendant mes découvertes.»
Les tarifs varient selon les « produits ». Sur deux forums basés en Russie, (dont carder.biz) les informations d’une carte bancaire (les 16 chiffres, la date de validité et le CVV, le cryptogramme inscrit à l’arrière de la CB) peuvent se revendre entre cinq et 30 euros pièce. « Le problème, souligne le pirate informatique, est qu’il y a de plus en plus de monde pour la revente de données piratées. Cela fait baisser les prix. » Comme le souligne Jérôme Granger, responsable de la communication de l’éditeur de solutions de sécurité informatique Gdata « Cette économie souterraine qui prend de l’ampleur. Le développement de l’économie souterraine au cours des dernières années s’illustre par le biais d’un exemple : Là où les pirates informatiques se vantaient autrefois d’arriver à obtenir via des données volées un accès gratuit à d’innombrables offres de pornographie sur Internet, ils se targuent aujourd’hui du nombre de cartes de crédit qu’ils ont déjà réussi à dérober. Fait remarquable : ces données se transforment à présent en espèces sonnantes et trébuchantes. Une tendance qui a fait naître une économie souterraine. Aujourd’hui, tout ce qui existe déjà dans un vrai environnement économique légal : fabricants, commerçants, prestataires de services et clients se trouve dans l’économie des cyberdélinquants. »
Le « black market » informatique a encore de beaux jours devant lui, d’autant plus que les données nominatives, sensibles et privées tirées des bases de données sont légions sur Internet. Si la rétention de données financières est prise très au sérieux par la majorité des entreprises ayant pignon sur web, il nous a été permis de constater que les cartes bancaires pouvaient se collecter très simplement. Comme le rappel la CNIL, tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physique (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. Le non-respect de l’obligation de sécurité est sanctionné de cinq ans d’emprisonnement et de 300 000 € d’amende (art. 226-17 du code pénal). Sans parler de la malchance de tomber entre les mains de pirates informatiques sans scrupules et de leurs logiciels de plus en plus sophistiqués.