Epsilon : Comment les données volées seront utilisées sur le BlackMarket

0
59

Epsilon : Les hackers étant derrière ce que les experts en sécurité informatique pensent être le plus grand vol de données dans l’histoire des États-Unis ont peut être l’intention de vendre les information aux cybercriminels pour des escroqueries ciblées.

Et tandis que des dizaines de millions de noms et d’adresses e-mail ont fuis de l’entreprise de marketing en ligne Epsilon, les données ne semblent pas avoir encore été utilisé pour la cybercriminalité. Les experts ont déclaré que ce n’est peut-être qu’une question de temps.

Les principales banques des États-Unis, hôtels, magasins et autres entreprises ont mis en garde leurs clients à se méfier des e-mails frauduleux qu’ils pourraient recevoir après qu’Epsilon ait reconnu la semaine dernière que des pirates informatiques avaient eu accès au système de courrier électronique de l’entreprise basée au Texas.

Epsilon, qui fournit des services d’e-mailing pour quelque 2.500 entreprises du monde entier, a déclaré que 2% des données de ses clients a été exposées dans ce qu’elle a appelé une “entrée non autorisée”.

Epsilon, qui envoie plus de 40 milliards d’e-mails par an, n’a pas identifié les entreprises dont les noms des clients et adresses e-mail ont été prises, mais des dizaines de sociétés américaines se sont manifestées au cours des derniers jours.

“Il s’agit essentiellement d’un who’s who de l’espace de vente au détail et de la banque”, a déclaré Nicholas Percoco, chef de SpiderLabs Trustwave. “Certaines des plus grandes marques dans le monde.”

Ils comprennent Hilton et Marriott, le géant des télécoms Verizon, la chaîne de pharmacies Walgreens, le Home Shopping Network et les détaillants Best Buy, Kroger, New York & Co. et Target.

Parmi les entreprises bancaires et financières qui ont avisé ses clients de la violation, on retrouve Citigroup, JPMorgan Chase, Capital One, US Bank, Barclays Bank du Delaware et Ameriprise Financial.

Les experts en sécurité ont déclaré que le vol de données d’Epsilon pourrait être la plus importante jamais connue en termes de volume, comparable aux exploits d’Albert Gonzalez, un des pirates les plus prolifiques des États-Unis en son temps.

Gonzalez effectue 20 ans de prison pour avoir volé des dizaines de millions de numéros de cartes de crédit des entreprises des principaux détaillants américains ainsi que les institutions financières.

Percoco a déclaré que le vol des données d’Epsilon pourrait comporter jusqu’à 100 millions d’adresses e-mails uniques et “pourrait finir par être la plus grande violation de données à caractère personnel et de consommation.”

Marian Merritt, sécurité Internet de Symantec, le fabricant de Norton anti-virus, a déclaré que les violations de données se produisent fréquemment mais que “toutes les indications montrent que cela pourrait être la plus importante dans l’histoire.”

Il est peu probable de trouver aussi dommageable, cependant, que les escroqueries Gonzalez.

“Les bonnes nouvelles sont que c’est juste les noms et les adresses e-mail et l’affiliation de la société qui vous fait des affaires avec”, a déclaré Joris Evers, un expert en sécurité chez McAfee.

“Ce n’est pas votre numéro de carte de crédit ou votre numéro de carte de sécurité sociale ou de votre domicile … des informations qui pourraient être plus personnelles et utilisées de manière plus néfaste immédiatement”, a déclaré Evers. “Il y a beaucoup de travail à faire avant de pouvoir les convertir en espèces.”

En outre, les données volées à Epsilon ne semble pas avoir encore été utilisées par la cybercriminalité.

“Nous avons scruté le spam et les escroqueries sur les sites Web depuis cette fuite de données et nous n’avons rien vu pour l’instant,” a déclaré Evers.

C’est peut-être parce que les hackers qui ont mené l’attaque d’Epsilon ont l’intention de vendre l’information à d’autres cybercriminels, selon les experts.

“Ça peut être des gens qui achètent et vendent des bases de données volées contenant des noms d’utilisateurs et des adresses e-mails”, a déclaré Merritt de Symantec.

“Il y a des marchés sur l’Internet, les marchés de l’underground, où les pirates vendent en vrac les adresses e-mails et les noms”, a ajouté Evers. “Vous pouvez acheter un million d’adresses e-mail pour 20 dollars ou quelque chose comme ça”.

“Mais ce n’est qu’avec les adresses e-mails et les listes de diffusion que vous pouvez ensuite commencer à spammer.”

Les informations volées à Epsilon ont plus de valeur car elles relient les noms et adresses e-mails avec des entreprises en particulier avec lesquelles l’individu a déjà eu une relation de confiance.

“Ils ont obtenu votre nom, pas votre pseudo, mais votre nom réel, votre adresse e-mail et les marques que vous achetez régulièrement et avec cela, la confiance dans les relations par e-mails”, a déclaré Merritt.

“Vous êtes déjà identifié comme prêts à recevoir des communications de ces marques, dit-elle. “Donc, les cybercriminels ont des informations plutôt agréables à utiliser contre vous.”

Evers a dit de telles informations peuvent être un «trésor» pour les cyber-attaquants parce que maintenant ils peuvent commencer à cibler les individus personnellement, une tactique connue sous le nom «spear phishing».

Par exemple, “vous pourriez avoir acheté quelque chose de LL Bean récemment, dit-il. “Vous recevez un e-mail qui dit : “Nous voulons confirmer votre commande, s’il vous plaît cliquez ici”.

“Et vous vous retrouvez sur un site web qui infecte votre ordinateur avec un quelconque malware. Ou vous êtes invité à taper votre numéro de carte de crédit à nouveau, dit-il. “Et maintenant, les criminels peuvent avoir aussi votre carte de crédit.” Quelle que soit la forme de ces agressions, les experts sont certains qu’elles vont avoir lieu dans un laps de temps plus ou moins long.

“Ils ne vont pas obtenir ces adresses e-mails et ces noms juste pour le plaisir de les posséder”, a déclaré Percoco. “Ils vont les utiliser.”