Des pirates ont pénétré chez Target via un fournisseur de climatisation — et dérobé 40 millions de cartes

Lors de la saison des achats des fêtes de 2013, le détaillant Target a subi l'une des plus grandes violations de données de l'histoire. Les attaquants n'ont pas obtenu l'accès en franchissant directement les défenses de Target, mais en dérobant les identifiants d'un fournisseur tiers qui entretenait les systèmes de chauffage et de climatisation de Target. Grâce à l'accès de ce fournisseur, les attaquants se sont introduits dans le réseau de Target.

Une fois à l'intérieur, les attaquants ont installé un logiciel malveillant sur les systèmes de point de vente de Target et ont dérobé les numéros de cartes de crédit et de débit d'environ 40 millions de clients, ainsi que les informations personnelles (noms, adresses, courriels) d'environ 70 millions de personnes. La violation est restée indétectée pendant des semaines, bien que Target disposât d'outils de sécurité ayant signalé l'intrusion — des alertes qui n'ont pas été suivies d'effet.

Les conséquences ont été graves. Target a payé un règlement multi-États de 18,5 millions de dollars et un règlement de recours collectif de 10 millions de dollars, a dépensé des centaines de millions en mesures correctives, et a vu ses ventes et sa réputation endommagées. Le directeur général Gregg Steinhafel a démissionné en 2014. La violation est devenue un cas d'école en cybersécurité — un exemple frappant de la manière dont un maillon faible dans une chaîne d'approvisionnement, et des alertes de sécurité ignorées, peuvent exposer les données de dizaines de millions de clients.

La violation a coûté à Target des règlements de 18,5 M$ et de 10 M$, des centaines de millions en mesures correctives, et le poste de son PDG, après le vol de 40 M de cartes et des données de 70 M de clients.

Les attaquants sont entrés dans le réseau de Target grâce aux identifiants dérobés d'un fournisseur tiers de CVC, exploitant un maillon faible de la chaîne d'approvisionnement.

Une fois à l'intérieur, ils ont installé un logiciel malveillant sur les systèmes de point de vente et ont dérobé 40 millions de numéros de cartes et les données de 70 millions de clients.

Les outils de sécurité de Target ont signalé l'intrusion, mais les alertes n'ont pas été suivies d'effet, si bien que la violation est restée indétectée pendant des semaines.

La violation a coûté à Target des centaines de millions en règlements et mesures correctives, a endommagé ses ventes et sa réputation, et a conduit à la démission de son PDG.

Votre sécurité n'est que aussi solide que votre fournisseur le plus faible. Target a été victime d'une violation via les identifiants d'un fournisseur de CVC, et ses alertes ont été ignorées. Une alerte que personne ne traite n'est pas une alerte du tout.

La violation de Target a été l'une des plus importantes de l'histoire et un cas d'école en cybersécurité, exposant les données de dizaines de millions de clients via les identifiants d'un fournisseur tiers et des alertes ignorées. Elle a coûté à Target des centaines de millions en règlements et mesures correctives, a endommagé ses ventes des fêtes et sa réputation, et a conduit à la démission de son PDG. La leçon est durable : la sécurité d'une entreprise s'étend à chaque fournisseur ayant accès à son réseau, et les outils de sécurité ne valent rien si les alertes qu'ils génèrent sont ignorées — la violation que vous ne traitez pas est celle qui vous détruit.