A la Une 18/08/2009 à 15h30

Pirate ou espion, il vole 130 millions de cartes de crédit

David Servenay | Ex-Rue89

C’est un simple communiqué du ministère américain de la Justice qui l’a annoncé lundi. Un jeune hacker de 28 ans est accusé d’avoir détourné 130 millions de numéros de cartes de crédit. Des numéros archivées dans la mémoire des plus grandes entreprises américaines. Ce pirate aurait reçu l’aide de deux autres hackers installés en Russie. Il risque vingt ans de prison.

Il s’appelle Albert Gonzalez, il a 28 ans et il est déjà un multi-récidiviste du piratage informatique. Cette fois-ci, il a frappé fort et en grand. D’après le site du département de la justice, ses victimes étaient choisies dans la liste des 500 plus grosses sociétés américaines établie par le magazine Fortune.

Avec l’aide de deux autres geeks, non identifiés (« Hacker 1 » et « Hacker 2 ») mais présentés comme vivants « en Russie ou près de la Russie », il est parvenu à dérober, entre 2006 et 2008, 130 millions de numéros de cartes de crédit de clients répertoriés dans les systèmes informatiques de plusieurs entreprises.

Trois grosses sociétés sont nommément désignées :

  • Heartland payment systems, une société du New Jersey spécialisée dans les puces de carte de paiement
  • 7-Eleven, une chaîne de magasins de proximité basée au Texas
  • Hannaford brothers Co., une chaîne de supermarché de l’Etat du Maine

... mais en tout, Gonzalez en aurait piraté au moins cinq.

En 2005, un précédent record de 40 millions de cartes

Paradoxe : ce petit génie de l’informatique purge actuellement une peine de prison pour une affaire similaire. En 2005, il avait été pris la souris dans le site en train de subtiliser 40 millions de numéros de carte de crédit auprès des sociétés Mastercard et Visacard.

Sa technique semble particulièrement efficace. Selon les explications du département US de la justice, il s’agit d’un « SQL injection attack »... autrement dit, une manière particulièrement sophistiquée de contourner les firewalls mis en place par ces grandes sociétés. Le tout grâce à un réseau de serveurs installés en Californie, en Illinois, aux Pays-Bas, en Lettonie et en Ukraine. Si certains d’entre vous ont des lumières sur le sujet, nous sommes preneurs...

Espion des services secrets ou pirate ?

Le profil d’Albert Gonzalez en fait déjà un personnage qui finira dans une adaptation d’Hollywood, car avant de devenir une dangereuse menace dans l’univers du capitalisme, ce jeune homme a travaillé pour... les services fédéraux.

Selon l’agence de presse AP, il a longtemps traqué les hackers pour le compte des services de renseignement américains, avant de se retourner contre ses employeurs. Pour l’instant, l’histoire ne dit pas comment il a réussi à doubler les espions américains, pas plus qu’elle n’indique le mobile de ce pirate à la double longue vue. C’est d’ailleurs le US Secret service qui est chargé de mener l’enquête.

Enfin, personne ne dit comment Albert Gonzalez a pu profiter de son forfait. Ni même s’il en a tiré un quelconque avantage. Il sera jugé en octobre par une juridiction du New Jersey. Il encourt vingt ans de prison pour la fraude informatique, plus cinq ans pour la « conspiration » et 250 000 dollars d’amende.

  • 9002 visites
  • 23 réactions
TAGS
Vous devez être connecté pour commenter : or inscrivez-vous
  • SiDi
    SiDi
    En état de choc
    • Posté à 15h55 le 18/08/2009
    • Internaute 24795
      En état de choc

    Particulièrement sophistiquée, l’injection SQL ? Que des compagnies de cette taille ne sachent pas se protéger de ça, la faille la plus courante et stupide qui soit, c’est une honte.

    • PoG
      PoG répond à SiDi
      Etudiant.
      • Posté à 20h52 le 18/08/2009
      • Internaute 70681
        Etudiant.

      J’ai pensé exactement la même chose. J’ajouterai que les informations sont forcement erronées, c’est surement l’attaque informatique la plus connue au monde, des dizaines de personnes auraient fait de même et un scandale aurait éclaté.

  • Khaos
    Khaos
    Arpenteur de la Toile
    • Posté à 16h04 le 18/08/2009
    • Internaute 87948
      Arpenteur de la Toile

    L’attaque par injection SQL fait partie des bases de la panoplie du hacker (j’en sais quelque chose).

    Donc aucune performance particulière de sa part. Par contre, un vrai défaut de sécurité de l’autre coté de la barrière. Que des banques ne sachent même pas se protéger contre ce genre d’attaque basique est effrayant.

    Pour ce qui du réseau de serveur, puisque vous souhaitez des lumières, il est probable que Gonzalez a utilisé un ou plusieurs serveur proxy qui permette de faire « rebondir » ses attaques par différentes routes et donc sembler attaquer de tous les « cotés » à la fois. (Là encore, une technique assez classique et basique)

    • Np237
      Np237 répond à Khaos
      Sarcasme malsain
      • Posté à 17h38 le 18/08/2009
      • Internaute 61165
        Sarcasme malsain

      Que des banques ne sachent même pas se protéger contre ce genre d’attaque basique est effrayant.

      Mais pas étonnant. Dans les processus de développement des applications mis en œuvre par l’ensemble des prestataires (car bien entendu les banques ne font plus leurs développements en interne, l’externalisation c’est tellement mieux), la sécurité la plus basique ne rentre pas du tout en ligne de compte. Pour les rares qui la mentionnent, elle passe toujours à la trappe par l’un des intermédiaires.

      Que ce soit clair : les banques n’ont aucun intérêt à protéger les données de leurs clients, elles ne le font donc pas. Quand on arrive à déterminer l’identité de l’attaquant, on fait des déclarations retentissantes sur les méchants hackers. Et le reste du temps, les vols de données passent inaperçus. Si on ne voit pas le problème, c’est donc qu’il n’y a pas de problème.

      • Khaos
        Khaos répond à Np237
        Arpenteur de la Toile
        • Posté à 17h47 le 18/08/2009
        • Internaute 87948
          Arpenteur de la Toile

        Pour ma part, j’ai finalement réussi à convaincre un client de la nécessité de sécuriser l’un de ses sites après pas moins de 2 attaques réussies ! (Apparemment la première ne l’a pas inquiété outre mesure)

        Et ce client c’est un ministère tout de même... (et pas le plus petit en plus)

         
        • SiDi
          SiDi répond à Khaos
          En état de choc
          • Posté à 19h09 le 18/08/2009
          • Internaute 24795
            En état de choc

          En même temps, quand on voit que la boîte chargée du logiciel de « sécurisation » HADOPI s’est fait pourrir son site (et ceux de ses clients) en quelques minutes, que cette même boite organise des votes électroniques, ou quand on voit que les résultats d’élections peuvent être publiés en retard à cause d’une « panne chez une entreprise privée chargée de collecter les résultat », ça fait bien marrer ! :)

        1 autres commentaires
    • Iv
      Iv répond à Khaos
      Roboticien utopiste
      • Posté à 20h59 le 18/08/2009
      • Internaute 39192
        Roboticien utopiste

      Il commence à y avoir de la grogne aux US. On aimerait en voir ailleurs. Une injection SQL est vraiment un grand classique. Il y a une incompétence qui devrait être délictueuse dans l’insuffisance de protection de ces données. Le hacker n’est pas seul coupable.

  • Keldan
    Keldan
    Now future & karpe diem
    • Posté à 16h35 le 18/08/2009
    • Internaute 5164
      Now future & karpe diem

    Je me demande ce que fout une chaine de supermarchés avec des numéros de CB dans ses machines... Ils n’ont pas besoin de conserver les numéros pour qu’on puisse payer.

    Mais quelque part ça me rassure qu’il se soit fait gauler en s’attaquant à Visacard. Même si je paye pas sur le Net, eux sont bien obligés d’avoir mon numéro de carte.

  • jmc06
    jmc06
    chasseur de gorille
    • Posté à 16h44 le 18/08/2009
    • Internaute 75030
      chasseur de gorille

    l’système des cartes prépayé, c’est pratque si on achète ou autre sur l’net

    perso je me sert que de ça,jamais mettre mon n° de carte bleue sur l’net

  • Pierrrrre
    Pierrrrre
    → → → → → → → le marché autant (...)
    • Posté à 16h57 le 18/08/2009
    • Internaute 23078
      → → → → → → → le marché autant (...)

    « SQL injection attack »…

    ► Quand même étonnant que les administrateurs de bases de données de cette ampleur permettent l’exécution de requêtes venant de l’extérieur :

    Les requêtes SQL sont simplement des commandes permettant d’interroger une base de donnée. (SQL = Langage Structuré de Requêtes )
    Rien d’autre que des lignes de programme destinées à un SGBD (Système de Gestion de Base de Donnée)

    Tous les SGBD se manipulent par SQL (Oracle..Access..)

    De la même manière que des petits rigolos arrivent à éxécuter des programmes pirates dans votre PC, simplement en espérant que vous activiez un programme en cliquant (pour voir) sur un fichier attaché,

    ils peuvent aussi par le biais de fichiers word ou excel, qui ont l’air neutres, mais peuvent comporter des « macros » (rien d’autre que de petits programmes écrits en Vsual Basic qui peuvent tout faire sur votre micro)

    et ils peuvent ouvrir un compte sur une base de donnée, et l’interroger par des procédures SQL.
    Si la base de donnée est bien administrée, c’est impossible...
    ..Mais..mais... ces bases de données ressemblent apparemment à ces pavillons protégés par porte blindée mais gardant leurs fenêtres ouvertes.

  • breizhad
    breizhad
    Informaticien
    • Posté à 17h12 le 18/08/2009
    • Internaute 53274
      Informaticien

    Techniquement comment réaliser une injection sql ? Evidement, là, c’est la version très très basique.

    Le but est d’envoyer des commandes en language SQL (celui commun à toute les bases de données) au serveur avec comme résultat la récupération des données de celui ci, donc les N° de carte bleu qui sont dedans dans ce cas.

    Comment on envois ces commandes, en les saisissants dans les champs des formulaire qui sont envoyé au serveur.
    Exemple quand on demande notre nom on va s’appeler SELECT N°CB FROM BASEATTAQUEE

    Ou en modifiant les données du formulaire lors de l’envois de celui au serveur, beaucoup plus probable quand même.

    Le résultat est le même, la ligne de commande envoyé est donc injecté et surtout exécuté par le serveur et le ’hacker’ devient le maitre des clés...

    Bon évidement là c’est très très simplifié et schématique, mais c’est comme ça que ça marche. Comme l’on dit bien d’autre avant moi c’est la plus simple des méthodes d’attaque, et je suis surpris qu’elle puisse fonctionner sur des sites aussi important, vu qu’il est assez simple de s’en protéger.

    A vouloir le moindre coût en permanence... Les tests et la sécurité (la vrai) ça coute cher...

    • Okhin
      Okhin répond à breizhad
      Administrateur Système
      • Posté à 17h46 le 18/08/2009
      • Internaute 66488
        Administrateur Système

      Ce qui me gène le plus c’est que, finalement, aucune nouvelle des sociétés qui ont été « piratées ». Ont-elles mis à jour leurs applications ? Ont-elles procédées à des audits de sécurité ? Peuvent-ils garantir que les informations de leurs clients sont protégées (et justifier du fait de les garder ? Ou vont-elles se contenter d’attaquer en justice tous les hackers pris la main dans le sac ? (et pour un hacker pris, combien de gagne-petits restent impunis ?)

      Okhin

  • Pas anonyme mais presque
    Pas anonyme mais presque
    Pas content, pas content !
    • Posté à 17h46 le 18/08/2009
    • Internaute 85225
      Pas content, pas content !

    On se croirait dans les séries TV...

    Il suffit de sortir un terme pas « standard », genre « injection SQL » (si possible en anglais, ça pète mieux), et hop, ça devient hyper-sophistiqué, et limité aux « hackers » de compèt’.

    Le pire, c’est que j’imagine tous les sujets autres que l’informatique, où les termes compliqués sont utilisés de la même façon, et où je suis pris pour un con parce que j’y connais rien !

    Lien

    • hyperchleuasme
      • Posté à 09h13 le 19/08/2009
      • Internaute 29950

      Non mais c’est surtout que tout le monde a le nez collé dans le guidon ici. Les américains lachent qu’il s’agit d’une injection sql et tout le monde avale ça. C’est comme si nous lisions : ’il y avait de l’arsenic dans le gateau servi aux dirigeants du G8’. Là bien sûr on va comprendre qu’une personne isolée est venue tranquillement dans les cuisines avec une fiole dans la poche.

  • General Subverciòn
    General Subverciòn
    viva Makhnovchtchina
    • Posté à 18h14 le 18/08/2009
    • Internaute 47117
      viva Makhnovchtchina

    « Paradoxe : ce petit génie de l’informatique purge actuellement une peine de prison pour une affaire similaire. En 2005, il avait été pris la souris dans le site en train de subtiliser 40 millions de numéros de carte de crédit »...donc si j’ai tout bien compris,ça fait 4 ans qu’il est au gnouf et on annonce ça maintenant ? c’est quoi cette info ? ça date de quand ce coup des 130 millions de numéros de cartes ? ...il a un ordi dans sa cellule ? c’est une info qui date d’il y a 4 ans ou c’est juste un marronnier de plus pour meubler ? c’est pas très cohérent...

  • Gastlag
    Gastlag
    flâneur | identi.ca/gastlag
    • Posté à 19h34 le 18/08/2009
    • Internaute 8274
      flâneur | identi.ca/gastlag

    à noter une erreur trop fréquente, et qui est reproduit dans votre article : un hacker n’est pas un cracker (ou black hat). Et dans votre article c’est bien de cracker dont il est question, pas de hacker. La différence est vraiment très importante car elle porte attente à une activité tout à fait respectable, hacker.

    Lien

    Lien(informatique)

    • lemuria
      lemuria répond à Gastlag
      • Posté à 21h39 le 18/08/2009
      • Internaute 88019

      Ou comment le media libre se ridiculise.Quand on ne connait pas le sujet , mieux vaut s’abstenir.1 : Gaston lagaffe , arrete de penser que les nom sont important...Cracker , on utilise souvent pour le gense qui contourne les logiciel payant et distribue des crack gratuit.DOnc le mieux aurait été lamer , mais on s’en fout...
      Bref vous perdez toute crédibilité ici : « Avec l’aide de deux autres geeks, non identifiés “...Aller voir la definition d’un geek , vous etes loin du compte..Bref , un article tres bof..

    • Khaos
      Khaos répond à Gastlag
      Arpenteur de la Toile
      • Posté à 09h30 le 19/08/2009
      • Internaute 87948
        Arpenteur de la Toile

      Ben non, il s’agit bien d’un hacker en l’occurence et non d’un cracker. D’ailleurs c’est marqué en toute lettre dans l’article de Wikipedia : « Black hat hacker, un hacker qui pénètre par effraction dans des systèmes ou des réseaux dans un objectif personnel, souvent un gain financier. »

      Un cracker « craque » des protections. Là il s’agit de quelqu’un qui est passé par une porte grande ouverte. Il n’a rien cassé du tout.

  • Serviant
    Serviant
    lost in Saigon
    • Posté à 09h41 le 19/08/2009
    • Internaute 84172
      lost in Saigon

    J’ai votre nom & numero de carte.

    Je passe une commande par internet grace a ces info.

    MAIS comme il n’y a pas de signature (ou de code secret, qui est une forme de signature), le titulaire du compte pourra se faire recrediter sur son compte sur simple demande aupres de sa banque.

    En parallele, la banque annulera le virement fait au commercant ayant vendu le bien ou le service (tous les commercants qui veulent recevoir des paiements par carte par internet, ou tel., doivent s’engager a rembourser si contestation, c’est la regle).

    DONC pas de grand risque pour le titulaire du compte et de la carte, plutot pour le commercant qui a accepte ce paiement.

    La plupart des gens qui flippent d’utiliser leur carte de credit sur internet ignorent generalement cela.

    Pas de code secret = pas de signature, tout repose sur la bonne foi des intervenants, d’ou cette securite, logique et rassurante.

  • kenjiamo
    kenjiamo
    debout
    • Posté à 13h33 le 19/08/2009
    • Internaute 78310
      debout

    Veulliez ne pas confondre geek et hacker qui n’ont absolument rien a voir.

    Un geek est un passionné, ( souvent de nouvelle technologie mais pas forcement ) qui peut perdre un peu de sa vie sociale pour assouvir sa passion.

    Et non un geek n’est pas un nerd completement no life.

  • Waldeck
    Waldeck
    Vivement dimanche 20 mai 2012 ! (...)
    • Posté à 14h00 le 19/08/2009
    • Internaute 36864
      Vivement dimanche 20 mai 2012 ! (...)

    Au journal de 13 heures sur F.Inter un représentant du consortium Cartes-Bancaires se gaussait qu’en France ce genre de piratage était exclu, grâce aux « puces » que le monde entier nous envie...

    Il tenait néanmoins à rappeler les possesseurs de CB les règles élémentaires de prudence, à savoir : non divulgation du n°de code (personnel & secret) à 4 chiffres, et du n° à 3 chiffres porté au dos de la CB, et utilisé pour les transaction sur le net.

    Bon.

    Pour le code à 4 chiffres, c’est OK on ne le note nulle part, on ne donne pas, c’est OK...

    Pour les 3 chiffres « magiques » situés au dos de la CB et fournis avec la date de validité lors d’une transaction CB via le net, je dit « Halte-là », on est en plein délire et en pleine esbrouffe : qui n’a pas eu sa CB hors des ses mains, lors du paiement au resto, ou en cas d’égarement de la CB (avec récupération ultérieure) ?

    Celui qui a eu votre CB dans les mains quelques instants peut avoir, sans être un virtuose de la manipulation, mémorisé votre N° + les 3 chiffres et la date de validité, et l’utiliser frauduleusement lui-même, ou le céder à un complice (pour usage dans une zone offshor)...

    J’en ai parlé à ma banque qui est restée perplexe, en arguant qu’il falait avoir l’esprit tordu pour penser un truc pareil ( merci) et que le système est fiable de ce côté là, qu’il suffit de responsabiliser ( culpabiliser) le porteur de carte...

    Pour ma part, je pense que la faille est large et que le système n’offre aucune garantie de sécurité et que les banques et la CB se comportent avec suffisance et arrogance en imposteurs !

    • Np237
      Np237 répond à Waldeck
      Sarcasme malsain
      • Posté à 14h29 le 19/08/2009
      • Internaute 61165
        Sarcasme malsain

      Sans compter que le numéro à 3 chiffres transite vers chaque site. Il est donc possible pour un commerçant escroc de le réutiliser, et surtout pour un commerçant incompétent de se faire pirater sa base. Le résultat est le même.

      Ce n’est pourtant pas comme si les solutions à ce type de problèmes étaient inconnues ; mais il faut croire que les systèmes informatiques sécurisés restent l’apanage des rares entreprises et services militaires disposant d’administrateurs compétents.

      • Waldeck
        Waldeck répond à Np237
        Vivement dimanche 20 mai 2012 ! (...)
        • Posté à 18h17 le 19/08/2009
        • Internaute 36864
          Vivement dimanche 20 mai 2012 ! (...)

        Pour ma part, j’ai griffé et occulté les 3 chiffres, je ne sais pas si cela compromet la validité de ma carte, mais je pense renforcer l’intégrité de celle-ci, c’est un peu archaïque, ça m’oblige à mémoriser encore un code, mais bon...

        Je suis étonné que les super-cybernétrucs n’aient pas trouvé un système plus « pro » .