Ce qu’il faut savoir sur la violation de données chez Staples
Une intrusion chez Staples aurait permis à une organisation criminelle chinoise de générer plus de 15 000 cartes-cadeaux pour une valeur dépassant 5 millions de dollars.
Les détails de l’incident
D’après une déclaration non classée, les enquêtes du département de la sécurité intérieure ont révélé, en octobre 2023, que des hackers avaient réussi à compromettre la sécurité de ce détaillant de fournitures de bureau. En analysant certains indices contenus dans les documents — comme le siège social situé dans le Massachusetts, la gestion des cartes-cadeaux par Blackhawk Network, et un système de support interne nommé Nexus — les enquêteurs de 404 Media ont pu identifier l’entreprise concernée, qui est donc Staples, mais celle-ci n’a pas répondu aux sollicitations pour un commentaire.
Les enquêteurs ont affirmé que les attaquants pouvaient accéder à Nexus depuis l’extérieur, alors que Staples croyait que ce système était uniquement accessible depuis les ordinateurs internes. Ils ont utilisé des requêtes de dump de tas pour extraire des données directement de la mémoire des applications et ainsi prendre le contrôle des sessions actives de certains représentants du service client.
Modes opératoires et conséquences
En s’établissant dans le système, le groupe aurait alors produit de grandes quantités de cartes-cadeaux frauduleuses et les aurait envoyées vers des comptes email sous leur contrôle. Dans un cas répertorié dans les documents judiciaires, 35 cartes rattachées à la violation de Staples ont été utilisées dans un magasin Target du New Hampshire pour acheter des produits Apple, Bose et Powerbeats en l’espace d’une heure.
Les vidéos de surveillance ont montré quatre hommes effectuant des achats répétés, tout en utilisant divers codes de cartes-cadeaux sur leurs téléphones. Des employés de Target ont déclaré aux enquêteurs que ces hommes étaient bien connus et qu’ils venaient presque quotidiennement effectuer des achats d’une grande envergure liés à Apple.
Les données issues de Target ont révélé que 3 850 cartes-cadeaux, d’une valeur totale d’environ 141 000 dollars, ont été échangées lors de 300 transactions réparties sur 85 magasins dans 18 États, et ce, en l’espace de deux jours.
D’autres enseignes ont observé des activités similaires. Par exemple, Sephora a indiqué que le groupe avait utilisé environ 330 cartes-cadeaux d’une valeur de 58 600 dollars en ligne dans 1 500 transactions, tandis que Lowe’s a fait état de 450 cartes d’une valeur de 226 000 dollars échangées tant en ligne qu’en magasin, à plus de 22 emplacements.
Retombées et enquêtes
Les autorités ont finalement signalé que 4 630 des cartes-cadeaux dérobées avaient été utilisées, représentant environ 425 000 dollars, selon 404 Media. Cette violation chez Staples serait liée à un autre dossier de vol au détail où le groupe aurait réussi à subtiliser plus de 100 millions de dollars en cartes-cadeaux, comme l’a mentionné un communiqué du ministère de la Justice.
Le groupe aurait principalement renvoyé les biens volés vers des entrepôts en Chine, en s’inscrivant dans une opération massive de vol au détail qui ciblait régulièrement des magasins locaux pour écouler des produits électroniques et autres marchandises sur le marché noir.
Actions et réactions des autorités
Les enquêteurs fédéraux, en coopération avec plusieurs détaillants ayant partagé des données sur les remboursements, ont pu cartographier cette machination. Selon un communiqué du ministère de la Justice, trois ressortissants chinois ont été condamnés pour leur implication dans cette conspiration de fraude liée aux cartes-cadeaux.
Thomas Demeo, un agent spécial par intérim du bureau des enquêtes criminelles de l’IRS à Boston, a déclaré que “l’IRS-CI est déterminée à poursuivre sa collaboration avec ses partenaires de la justice, tant au niveau national qu’international, afin de stopper toute tentative de profit à partir du travail acharné des citoyens américains.”
FAQ
Quelles mesures de sécurité ont été mises en place après la violation ?
Après l’incident, Staples a renforcé ses protocoles de sécurité informatique et revu ses systèmes d’accès pour prévenir de futures intrusions.
Y a-t-il eu des arrestations suite à cette affaire ?
Oui, trois individus ont été condamnés pour leur rôle dans cette conspiration de fraude concernant les cartes-cadeaux.
Quelles autres entreprises ont été touchées par ce groupe criminel ?
D’autres détaillants notamment Sephora et Lowe’s ont également signalé des activités suspectes liées à des cartes-cadeaux, avec des transactions frauduleuses sur leurs plateformes.
Quel est l’impact de ce type de fraude sur les consommateurs ?
Les fraudes de ce genre peuvent éroder la confiance des consommateurs envers les détaillants et engendrer des pertes financières significatives pour les entreprises, qui doivent assumer les coûts liés à la récupération et à l’invalidation des cartes frauduleuses.
Comment les consommateurs peuvent-ils se protéger ?
Les consommateurs doivent être vigilants et signaler toute activité suspecte sur leurs comptes de cartes-cadeaux, tout en optant pour des plateformes sécurisées pour leurs achats en ligne.
