Home Depot : une fuite d’une ampleur sans précédents ?

Le distributeur américain Home Depot explique avoir été victime d’une attaque susceptible d’avoir causé la fuite d’environ 56 millions de données cartes. Une compromission de masse dont les premiers chiffres dépassent de loin ceux de la récente affaire Target (40 millions de données cartes) et la plus ancienne attaque contre TJX (45,6 millions).

Ce cas porte sur les dispositifs d’encaissement Home Depot aux Etats-Unis et au Canada. Alerté par ses partenaires bancaires et par les autorités, le distributeur a ouvert une enquête début septembre. Les premiers éléments semblent montrer que l’attaque aurait duré d’avril à septembre et que les fraudeurs se seraient servis de programmes jamais encore identifiés pour échapper aux détections (il peut s’agir d’une variante de BlackPOS).

Les terminaux compromis, pour l’essentiel des dispositifs de self-checkout, auraient à présent été mis hors service et désinfectés. Des mesures de sécurité complémentaires auraient aussi été appliquées en partenariat avec Voltage Security. L’enseigne dit avoir prévu 65 millions de dollars pour couvrir les frais liés aux enquêtes et améliorer ses services d’information client.

Notre Analyse : Les distributeurs, des cibles qui ne doivent pas s’ignorer

Les données exfiltrées auraient commencé à être mises en vente sur les même sites de carding que ceux utilisés par les fraudeurs lors des attaques contre Target, P.F. Chang’s, etc. En complément des mesures de chiffrement mises en œuvre par Home Depot (pour ses points de vente américains et canadiens), le distributeur rappelle qu’il compte avoir migré 85 000 TPE* américains vers EMV* avant 2015.

Home Depot tente de rassurer ses clients et indique qu’il ne semble pas que les PIN* des cartes aient été affectés. Une polémique quant à sa gestion des mises à jour et scans de sécurité commence aussi à se faire entendre rappelant l’importance d’audits réguliers et complets.

Autre cas marquant, une dizaine de banques américaines ont récemment fait l’objet d’attaques ayant impacté un grand nombre de données clients. JPMorgan Chase compte parmi ces établissements. Dans son cas, les données concernées incluraient les noms, adresses, numéros de téléphone, e-mails de près de 76 millions de foyers américains auxquels s’ajoutent les données de sept millions de petites entreprises. Selon la banque, il ne semble pas que les mots de passe, dates de naissance et SSN des clients aient été affectés. De prime abord, pas de données cartes, donc, mais des possibilités pour les attaquants d’exploiter les informations recueillies pour leurs campagnes de phishing, vectrices, a posteriori, d’infections. Les enquêtes sont ouvertes.