Publié le 13-02-2011 à 23:46:49 dans le thème Hacking

Pays : International - Auteur : Damien Bancal

Pub : Tous les antivirus en ligne pour désinfecter votre ordinateur

Exclusif - Un pirate informatique met en vente plusieurs millions de données volées sur le web. Dans la liste, des clients de Pixmania, Eidos, eHarmony. Décidément, la petite boutique carder.biz, espace de black market, ne finit plus d'attirer les pirates à la petite semelle. Depuis quelques semaines, un "internaute", tente de vendre sur le portail pirate des millions de données clients appartenant aux sites eHarmony, Eidos, diversitybusiness, mais aussi à la boutique Française Pixmania. Les informations sont commercialisée entre 2000 et 3000 dollars via les bases de données qu'a ponctionné le e.voleur. Une méthode simple, et qui ne demande aucun savoir faire. Une faille de type injection SQL, un logiciel permettant d'automatiser l'injection et il ne reste plus qu'à pomper les bases de données ! D'après le chercheur en sécurité Brian Krebs, 1.500.000 de données d'américains, membres de diversitybusiness.com sont en vente. Eidos a lancé une enquête. Pixmania et DiversityBusiness n'ont pas encore communiqué sur le sujet. Il semble que le pirate soit le même qui a mis la main, en décembre dernier, sur les informations appartenant aux 30 millions de membre du site de rencontres, PlentyOfFish. Comme nous vous l'indiquions dans notre rapport 2010, les injections SQL sont devenues la plaie du web.

Mise à jour 14/02/2011 : Le service presse de Pixmania nous a contacté pour nous préciser plusieurs points au sujet de cette affaire : "Pixmania.com a immédiatement lancé une série de test pour vérifier la sécurité de ses données clients. Les tests sont toujours en cours et n’ont pour le moment démontré aucune faiblesse. Dans tous les cas, il est primordial de noter que : Absolument aucune information bancaire ou relative aux moyens de paiement n’est stockée dans la base de donnée de Pixmania.com. Les pirates ne peuvent donc pas y avoir accès. Tous les mots de passe des clients du site sont entièrement cryptés. Aucune personne autre que le propriétaire du compte ne peut donc y accéder."

Les Directeurs des Systèmes d’Information du Groupe Pixmania sont à votre
disposition pour répondre à vos questions sur ce sujet.

"Les nouvelles armes des pirates informatiques à l'assaut des secrets des entreprises"

Des pirates informatiques ont inventé un logiciel qui ne laisse aucune chance aux serveurs Internet. En quelques clics de souris, il est possible de prendre en main les données privées et sensibles sauvegardées sur les serveurs d'entreprises ! Un tour de passe-passe digne d'un David Copperfield de l'informatique ? Pas vraiment, les e.voleurs sont aujourd'hui équipés de logiciels étonnants. De véritables passe-partout électroniques à l'image du logiciel H'j3v (Le nom a été modifié, NDR), un programme créé par des bidouilleurs iraniens. Ces derniers proposent plusieurs versions de leur création. Une gratuite, et la seconde, commercialisée 350 $.

H'j3v ne paie pas de mine. Quelques boutons en anglais; deux/trois onglets; aucun mode d'emploi. Pourtant, derrière ces quelques bits, une arme redoutable qui devrait permettre aux responsables informatiques de réfléchir à deux fois sur la sécurité de leurs serveurs. Dans le cas de cet « outil », il en existerait plusieurs dizaines du même type sur la toile, il suffit de rentrer une adresse Internet trouvée via le moteur de recherche Google. « Le plus terrible, souligne François (un pseudonyme), un bidouilleur informatique, Il suffit de quelques mots clés dans Google pour établir le lien qui ouvrira les portes du site que je cible ». Bilan de cette opération banale, le logiciel informatique se charge de trouver le point d'entrée à la base de données de n'importe quel site Internet. Opération que ce software effectue en moins de trois secondes. Vous avez bien lu, n'importe quel site Internet équipé d'une base de données est en danger. Il suffit qu'un script du site soit faillible à un injection SQL et le tour est joué !

Vicieux, l'outil décortique une par une les tables d'enregistrements sauvegardées dans les bases de données. En quelques secondes, selon les configurations des sites et serveurs web, les identités, les adresses physiques, les courriels, les adresses ip, les messages laissés par les employés et les visiteurs des sites concernés apparaissent. Dans le pire des cas, les commandes et les données bancaires sont consultables à souhait. « Aujourd'hui, souligne François, une base de données peut se revendre très chère. Si je mets la main sur des adresses électroniques, je les revends à des spammeurs. Si j'accède à des données bancaires. Il existe sur la toile des espaces privés où il est possible de revendre, échanger, acheter ce type de prestations. Il m'est arrivé de toucher plus de 4,000 euros par mois en revendant mes découvertes.»

Les tarifs varient selon les « produits ». ZATAZ.COM a pu constater sur deux forums basés en Russie (dont carder.biz) que les informations d'une carte bancaire (Les 16 chiffres, la date de validité et le CVV, le cryptogramme inscrit à l'arrière de la CB) pouvait se revendre entre cinq et 30 euros pièce. « Le problème, souligne le pirate informatique, est qu'il y a de plus en plus de monde pour la revente de données piratées. Cela fait baisser les prix. » Comme le souligne Jérôme Granger, responsable de la communication de l'éditeur de solutions de sécurité informatique Gdata « Cette économie souterraine qui prend de l'ampleur. Le développement de l’économie souterraine au cours des dernières années s’illustre par le biais d’un exemple : Là où les pirates informatiques se vantaient autrefois d’arriver à obtenir via des données volées un accès gratuit à d’innombrables offres de pornographie sur Internet, ils se targuent aujourd’hui du nombre de cartes de crédit qu’ils ont déjà réussi à dérober. Fait remarquable : ces données se transforment à présent en espèces sonnantes et trébuchantes. Une tendance qui a fait naître une économie souterraine. Aujourd’hui, tout ce qui existe déjà dans un vrai environnement économique légal : fabricants, commerçants, prestataires de services et clients se trouve dans l’économie des cyberdélinquants. »

Le « black market » informatique a encore de beaux jours devant lui, d'autant plus que les données nominatives, sensibles et privées tirées des bases de données sont légions sur Internet. Si la rétention de données financières est prise très au sérieux par la majorité des entreprises ayant pignon sur web, il nous a été permis de constater que les cartes bancaires pouvaient se collecter très simplement. Comme le rappel la CNIL, tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physique (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. Le non-respect de l’obligation de sécurité est sanctionné de cinq ans d'emprisonnement et de 300 000 € d'amende (art. 226-17 du code pénal). Sans parler de la malchance de tomber entre les mains de pirates informatiques sans scrupules et de leurs logiciels de plus en plus sophistiqués.

# Liens connexes

Switched

Krebson Security

Tweet

Un Anonymous Français déclare la guerre aux hébergeurs

25-05-2012 à 13:05 - 1 commentaire(s)

Info zataz - Des dizaines d'hébergeurs sous le contrôle d'un Anonymous Français. Il déclare la guerre aux serveurs privés Dofus.

Votre compte Facebook a-t-il été infiltré ?

24-05-2012 à 12:09 - 0 commentaire(s)

Info zataz - Une vague de faux messages vise des milliers de comptes Français Facebook. Prudence aux photos sexy diffusées.

Fuite de données pour iPhone

22-05-2012 à 00:43 - 0 commentaire(s)

Info zataz - Un iPhone jailbreaké couplé avec Tweak Bulletin permet de passer outre le mot de passe d´ouverture du téléphone.

Téléphone portable ZTE piégé

22-05-2012 à 00:38 - 0 commentaire(s)

Le fabricant chinois de téléphone portable ZTE a confirmé la présence d'une porte dérobée dans l'un de ses smartphones sous Android.

Le Bureau de Justice US piraté

22-05-2012 à 00:31 - 0 commentaire(s)

Info zataz - Des milliers de données sensibles volées par des Anonymous au Bureau of Justice US.

Anonymous contre pédophiles

22-05-2012 à 00:09 - 0 commentaire(s)

Info ZATAZ : Plusieurs dizaines d´informations concernant des pédophiles présumés venant du réseau Darknet diffusées par des Anonymous.

Vulnérabilité sur les site de FHM, ELLE et Forbes

20-05-2012 à 20:38 - 0 commentaire(s)

Info zataz - Des failles découvertes sur les sites des magazines FHM, ELLE et Forbes peuvent mettre en danger les lecteurs internautes.

Anonymous menacent le gouvernement québécois

20-05-2012 à 20:28 - 0 commentaire(s)

Info @zataz - Le gouvernement Québécois veut faire interdire des manifestations étudiantes. Les Anonymous répondent en lançant des attaques informatiques.

Un Anonymous Français déclare la guerre aux hébergeurs

Info zataz - Des dizaines d'hébergeurs sous le contrôle d'un Anonymous Français. Il déclare la guerre aux serveurs privés Dofus.

Le Bureau de Justice US piraté

Info zataz - Des milliers de données sensibles volées par des Anonymous au Bureau of Justice US.

Un fournisseur de gaz piraté, données diffusée sur le web

INFO ZATAZ - La société américaine Sempra energy, spécialisé dans la production de gaz, piratée. Des données privées diffusées sur la toile

Le sommet de l´OTAN de Chicago attire les foudres des Anonymous

INFO ZATAZ - Le site Internet de la Ville de Chicago, ainsi que son département de Police, piratés en réponse au sommet de l'Otan.

Amnesty International piraté, code malveillant injecté

La filiale anglaise d'Amnesty International piratée. Injection d'une iframe malveillante dans le code source l'ONG.

Vodafone piraté

Un groupe de pirates informatiques met à mal un serveur de l'opérateur Vodafone. Données et accès sensibles diffusés.

Protocole fantôme ? Le Kremlin et FSB piratés

Les sites Internet du Kremlin et des Services Secrets Russes sous la fourdre d'une attaque informatique.

Hacker Rwandais contre terroristes pro Talibans

Un jeune pirate informatique Rwandais s'attaque à des sites Internet militaires afin de manifester contre un pro Talibans basé au Nigeria.