Les clients de Macy's commencent à recevoir des informations sur la protection de leurs comptes après une violation de données

Les enquêtes suggèrent que, selon les utilisateurs, les entreprises sont responsables de la protection des informations personnelles des personnes et doivent en assumer l'entière responsabilité après une violation de données. Parfois, cependant, les choses ne sont pas aussi simples que cela. Par exemple, l’année dernière, des pirates informatiques ont compromis la confidentialité de certains renseignements personnels de certains clients du détaillant de vêtements Macy's, mais le magasin n’était pas le seul responsable. À l'époque, Macy's était la cible d' une attaque de bourrage d'informations d'identification. Comme nous le savons tous, une attaque de bourrage d'informations d'identification ne peut fonctionner que si de nombreux clients réutilisent les mêmes mots de passe anciens. Macy's n'a pas (et ne devrait pas) contrôler la façon dont les gens gèrent leurs données de connexion, ce qui signifie qu'elle ne peut être tenue pour responsable lorsque les conséquences inévitables d'une réutilisation généralisée des mots de passe se présentent.

Malheureusement, le mois dernier, un peu plus d'un an après la première attaque, Macy's en a subi une deuxième et cette fois, les choses sont un peu différentes.

Macy's subit une deuxième cyberattaque

Plus tôt cette semaine, une copie d'une lettre de notification de violation de données a été publiée, révélant que Macy's informait ses clients d'un deuxième incident de piratage. Le message a apparemment été envoyé la semaine dernière et indique que le 7 octobre, des cybercriminels ont réussi à pirater le site Web de Macy et à insérer un code malveillant dans deux des pages: la page de paiement et la page Portefeuille de la section Mon compte.

La page de paiement est l'endroit où les gens entrent les détails de leur carte de crédit (y compris le numéro de carte, le code CVV et la date d'expiration) et, comme vous l'avez déjà deviné, l'objectif principal du script injecté était de collecter toutes ces données et de les envoyer à un serveur contrôlé. par les attaquants. Dans la section Mon compte, les pirates ont également été en mesure de voler des noms, des adresses physique et électronique, ainsi que des numéros de téléphone.

À peu près exactement le même genre de détails ont été volés lors de l'attaque de juillet 2018. La différence est cependant que si le premier incident peut être imputé à la mauvaise hygiène des mots de passe des utilisateurs, la responsabilité du second incombe uniquement au détaillant en ligne.

Magecart était au bas de l'incident

L'attaque avait toutes les caractéristiques d'une opération Magecart dès le début et, bien sûr, après avoir jeté un coup d'œil, les experts ont conclu que c'était exactement ce que c'était. Magecart, pour ceux qui ne le savent pas, n'est pas une famille de logiciels malveillants. Ce n'est pas non plus une équipe de piratage. Magecart est un nom collectif utilisé pour les opérations d'écrémage de cartes de crédit en ligne qui utilisent un ensemble particulier d'outils et de techniques. La popularité des attaques Magecart a tellement augmenté au cours des deux dernières années que ce type d'écrémage est largement considéré comme l'une des plus grandes menaces pour les entreprises de commerce électronique de nos jours.

Oleg Kolesnikov du laboratoire de recherche sur les menaces Securonix a déclaré au registre que Macy avait subi une attaque typique de Magecart. Les fichiers compromis avaient été ciblés lors d'incidents précédents de ce type, et même le domaine Command & Control (C&C) avait été utilisé par des pirates informatiques de Magecart.

Malgré tout cela, l'équipe de sécurité de Macy n'a pas remarqué l'intrusion initiale et n'a détecté l'attaque qu'une semaine plus tard, ce qui signifie que plusieurs cartes de crédit auraient pu être compromises. Malheureusement, le nombre exact d'utilisateurs affectés reste inconnu pour l'instant.

La lettre de notification de violation de données ne dit pas combien de personnes ont été victimes de l'attaque, et l'incident n'est pas mentionné dans un communiqué de presse ni par aucun des autres canaux officiels. Ce n'est probablement pas la meilleure décision compte tenu du nombre de personnes susceptibles d'être touchées par la violation.

Afin d'essayer d'illuminer leur humeur, Macy's a déclaré dans sa notification que les clients affectés peuvent recevoir gratuitement pendant 12 mois des services de protection contre le vol d'identité d'Experian. Apparemment, cependant, les gens ne pensent pas que cela suffit. Après l'annonce de la nouvelle mardi, les actions du détaillant ont perdu près de 11% de sa valeur en un jour.