Inelul de furt de identitate a atacat comercianții cu amănuntul la niveluri multiple

Un inel de hoți de identitate care a țintit comercianții cu amănuntul din SUA a folosit atacuri sofisticate și multiple, pentru a fura peste 40 de milioane de carduri de credit și de debit de la TJX, OfficeMax, Barnes & Noble și alte companii, potrivit documentelor instanței. comercianților cu amănuntul și companiilor de cărți de credit zeci de milioane de dolari.

Membrii conspirației pentru furtul de identitate au folosit așa-numitele tehnici de protecție pentru a găsi găuri în rețelele fără fir operate de magazinele de vânzare cu amănuntul. Odată ce au intrat în rețea, hoții au localizat și au furat informații despre tranzacțiile cu carduri de credit stocate în rețelele comercianților cu amănuntul, conform documentelor instanței.

[A se citi lectură: Cum să eliminați malware-ul de pe PC-ul Windows]

- software-ul de alertă numit "sniffer" pentru a capta parola și datele contului în rețelele magazinelor și au folosit atacuri bazate pe Internet, inclusiv atacuri de tip SQL, pentru a avea acces la bazele de date ale cărților de credit.

pe servere compromise în SUA, Letonia și Ucraina, potrivit documentelor instanței. Hoții au criptat apoi numerele cărților de credit de pe acele servere, conform acuzației de acuzare a lui Albert Gonzalez, presupus conducător al schemei de furt de identitate.

Gonzalez, din Miami, a fost acuzat marți la Curtea Districtuală din Districtul Massachusetts în baza unor acuzații de fraudă pe computer, fraudă prin cablu, fraudă de acces la dispozitiv, furt de identitate agravată și conspirație. Zece alți inculpați au fost inculpați sau acuzați de crime în ceea ce se crede a fi cel mai mare anchetator de furt de identitate și computer hacking din istoria Departamentului de Justiție al SUA, a anunțat DOJ marți

Documentul de acuzare pentru Gonzalez, care lucra ca informator al Serviciului Secret al SUA în timp ce se presupune că a fost angajat în schemă, aruncă o lumină asupra operațiunii de furt de identitate. Hoții au fost capabili să codifice informații despre cărțile de credit pe cărțile goale care au fost folosite pentru a obține zeci de mii de dolari de la bancomate în timpul vizitelor unice, afirmă documentul în instanță.

Printre atacurile detaliate în documentul de judecată:

- În jurul anului 2003, Gonzalez și alții au găsit un punct de acces fără fir criptat la un magazin de en-gros al BJ. BJ a raportat o încălcare a rețelelor sale de calculatoare la începutul anului 2004.

- În 2004, alți membri ai inelului de furt de identitate au compromis un punct de acces fără fir OfficeMax din Miami și au reușit să fure datele cardului de credit. După ce oficialii de aplicare a legii au identificat OfficeMax ca fiind victima unei încălcări a datelor, compania a declarat că a angajat un auditor extern pentru a efectua o investigație și nu a găsit nici o dovadă de încălcare a securității. Un purtător de cuvânt al OfficeMax nu a întors imediat un mesaj de căutat.

- În iulie, septembrie și noiembrie 2005, presupusul membru al inelului de furt, Christopher Scott, a compromis două puncte de acces fără fir operate de TJX la casele de la Marshalls din Miami. Scott și-a folosit accesul pentru a transmite în mod repetat comenzi la serverele TJX care stochează informații despre cărțile de credit în Framingham, Massachusetts. TJX, care deține și TJ Maxx, HomeGoods și alte puncte de vânzare cu amănuntul, a raportat încălcări ale datelor în ianuarie 2007.

Experții de la Cybersecurity au declarat că firmele sunt îngrijorate de faptul că victimele pot învăța din atacuri. Întreprinderile care stochează informații cu caracter personal trebuie să adopte o abordare cuprinzătoare a securității datelor, inclusiv criptarea bazelor de date ale cardurilor de credit, notificarea comportamentului suspect în interiorul rețelelor și limitarea accesului la date, au spus experții în securitate.

rapid și asigurați-vă că știu că datele sensibile sunt localizate pe rețelele lor, a adăugat Ted Julian, vicepreședinte al strategiei și marketingului pentru securitatea aplicațiilor furnizorului de securitate informatică. Multe companii nu știu unde sunt stocate toate datele lor sensibile, datorită cifrei de afaceri a angajaților IT și a altor factori, a spus el.

Companiile trebuie, de asemenea, sa-si analizeze riscurile si sa adopte o abordare orientata spre rezolvarea problemelor, a declarat Sam Curry, vicepresedinte al managementului de produs la vanzatorul cybersecurity RSA.

Atacurile s-au schimbat in ultimii ani, cu campanii mai bine organizate si vizate. "Hackerii sunt mult mai concentrați și vor încerca 38 de uși, vor încerca 100 de uși", a spus el. "De îndată ce găsesc cel care este deblocat, ei se află în drum spre baza de date. Nu știu că o mulțime de oameni [IT] primesc 10 milioane de dolari în bugetul lor pentru a lansa o grămadă de noi măsuri de securitate. "

Companiile ar trebui să examineze, de asemenea, dacă datele pe care le stochează sunt necesare și cât timp păstrează datele, a declarat Graham Cluley, consultant senior în tehnologia Sophos, un alt furnizor de soluții informatice.

Companiile s-au concentrat prea mult pe apărarea perimetrală pe protejarea datelor din rețelele lor, a spus Curry. Retailerii și alte companii trebuie să se "trezească și să ia aceste amenințări în serios", a spus Curry. "Faceți costurile pentru băieții răi prea mari pentru ca ei să facă acest lucru."

Rechizitele anunțate marți ar putea crește gradul de conștientizare cu privire la securitatea informatică, a adăugat Curry. Și unele condamnări de înaltă calitate ar putea servi drept descurajare pentru criminali. Dar Curry și Cluley au refuzat să arate degetele la comercianții cu amănuntul ale căror sisteme au fost compromise. In timp ce clientii companiilor au nevoie de presiune asupra lor pentru a imbunatati practicile de securitate, companiile sunt si victime, a spus Cluley. "Ar fi greșit sa bateti prea mult companiile", a spus Cluley. "Companiile concurente nu ar trebui să se simtă prea deștepte, pentru că câte dintre ei își pot pune mâinile pe inimă și pot spune:" acest lucru nu s-ar putea întâmpla niciodată în interiorul organizației noastre? ""

Comisia Federală a Comerțului a depus plângeri împotriva TJX, BJ's Wholesale și DSW, un lanț de comerț cu pantofi vizat de inelul de furt de identitate care a raportat o încălcare a datelor în martie 2005. DSW a raportat că mai mult de 1,4 milioane de carduri de credit au fost compromise, iar pierderile au variat de la 6,5 ​​milioane de dolari la 9,5 milioane de dolari.

La mijlocul anului 2005, BJ a raportat creanțe restante de 13 milioane de dolari legate de încălcarea datelor. Aproximativ 455.000 de numere de carti de credit au fost luate in incalcarea TJX, potrivit FTC.

FTC a afirmat ca cei trei retaileri nu au luat masurile de securitate adecvate pentru a proteja impotriva atacurilor. Iunie 2005, care impune companiei să implementeze un program cuprinzător de securitate a informațiilor și să obțină audituri de către un profesionist de securitate terț independent, la fiecare doi ani, timp de 20 de ani. Agenția a anunțat o decontare similară cu DSW în decembrie 2005 și TJX în luna martie a acestui an.

FTC nu a depus plângeri împotriva altor șase companii identificate de DOJ drept victime ale încălcării datelor. Aceste companii sunt Dave și Buster, OfficeMax, Barnes & Noble, Boston Market, Sports Authority și Forever 21. Oficialul FTC a declarat că nu poate comenta eventuale plângeri împotriva acestor companii, deoarece FTC nu comentează investigațiile în curs.