Un pirate informatique diffuse 150 000 cartes bancaires françaises

[Info ZATAZ] Un hacker malveillant met en ligne 150 000 cartes bancaires appartenant à des clients d’une banque française, fournissant les CVV et les dates de validité.

Lors d’une de mes enquêtes, je me suis retrouvé face à un pirate informatique fier de présenter un produit qu’il commercialise : des données bancaires. Pour attirer les acheteurs potentiels, une méthode classique, il propose un échantillon que le Service Veille ZATAZ a pu récupérer. La même méthode que la révélation de ZATAZ, en 2022, sur la diffusion d’un échantillon, par un pirate, d’un million de données bancaires.

Le fichier est hébergé sur un espace de stockage public, accessible sur le web à condition de disposer de la bonne adresse.

L’URL dirige vers un message : « Cartes de crédit (complet) […] Merci de ne pas divulguer cette liste, elle doit rester dans les archives ».

En analysant le document, j’ai trouvé 150 000 numéros de cartes bancaires, accompagnés des CVV et des dates de validité.

En somme, de quoi permettre à un individu malveillant d’acheter des produits sur des sites qui ne requièrent pas une double authentification (2FA). Cependant, le contenu du fichier ne contient aucune information sur les propriétaires des données bancaires, tels que les noms ou les adresses e-mail. Impossible donc de réaliser la technique pirate du « Allô ».

Toujours selon ce pirate, les informations datent de 2022, et d’après mes constatations, les données bancaires seraient actives de 2024 à 2032. Etonnant, des dates qui dépassent les 3 ans [5 ans dans certains cas] habituellement usitées dans le secteur bancaire.

Les 16 chiffres des cartes bancaires m’ont permis de confirmer la banque mentionnée par ce blacknaute. Je ne citerai pas cette entreprise, car cela ne serait d’aucune utilité et évitera de susciter une inquiétude inutile parmi les plus de 10 millions de sociétaires de ce groupe bancaire.

Le CERT de l’entreprise a été alerté, et la réponse a été obtenue en moins de 5 minutes.

La liste a été rapidement prise en charge et communiquée au service anti-fraude. Les clients concernés seront contactés par les autorités compétentes.

La manière dont ce présumé pirate a pu collecter ces informations reste un mystère. Il n’a mis en ligne que les numéros de cartes bancaires de la banque en question, peut-être également des informations générées aléatoirement par un logiciel malveillant dédié produisant de faux comptes pour piéger d’autres pirates !

Mise à jour 06/09/2023 : selon nos informations, le pirate semble avoir rajouté de très nombreux faux comptes, en fusionnant avec de vraies données [- 500] qu’il a pu exfiltrer via un phishing. Sa finalité, peut-on le penser : briller dans la société des pirates, et espérer en « pigeonner » certains !