4 millions de cartes bancaires hackées et vendues sur le Dark Web : comment se protéger ?

L’étude a été menée sur quelque 4 millions de cartes bancaires craquées puis vendues pour 10 dollars sur le Dark Web. Elle recense 5 méthodes les plus couramment utilisées. Parmi elles, l’attaque dite “par force brute”, la plus courante. Un peu comme un voleur décodant le cadenas d’un coffre-fort. Le hacker essaye de deviner le numéro de la carte, la date d’expiration et le CVV (Card validation value), en testant plusieurs combinaisons. Mais ce qui demande un temps infini pour notre voleur, ne prend que six secondes pour un ordinateur, qui peut essayer des milliers de tentatives par seconde. Et même si certains systèmes limitent le nombre de tentatives dans un court laps de temps pour éviter ce genre d’attaque, il n'est pas si difficile de les contourner. Car le système de paiement en ligne, qui n’autorise qu’un certain nombre de tentatives à partir d’un même site, ne détecte pas toujours plusieurs demandes de paiements invalides provenant de différents sites. Il n’est d’ailleurs pas nécessaire de deviner l’intégralité des chiffres, puisque certains sont facilement prévisibles : les 6 premiers chiffres indiquent la banque et le type de carte, ils sont donc les mêmes pour chaque carte d’un seul fournisseur. Le 16e chiffre n’est qu’un contrôle servant à déterminer si des erreurs ont été commises lors de la saisie du numéro. Il ne reste donc que 9 chiffres à deviner. Pour ce qui est de la date d’expiration, les banques émettent généralement des cartes valables 60 mois : deviner la date demande donc au maximum 60 tentatives.

La méthode de “l’attaque par force brute” est la plus observée dans l’étude de NordVPN, “pour la simple raison qu’elle ne requiert pas de compétences particulières ou d’algorithmes complexes". Ce jeu de devinettes nécessite uniquement certaines ressources : du temps, de la puissance de calcul et un type particulier de logiciel.

Les cartes Visa sont particulièrement vulnérables

Sur les 4 millions de cartes vendues sur le Dark Web et analysées par NordVPN, plus de la moitié d’entre elles sont des cartes Visa (2,4 millions) suivies des MasterCard (1,6 million) et des American Express. La différence de vulnérabilité s’explique par le nombre de tentatives autorisées pour activer les cartes : entre 30 et 40 pour les cartes Visa, ce qui les rend particulièrement vulnérables, contre une dizaine pour les MasterCard, et encore moins pour les American Express. Selon une porte-parole de NordVPN, “l’idéal serait que toutes les banques adoptent la méthode des cartes American Express pour chaque type de cartes”.

D’autres méthodes existent pour deviner votre numéro de carte bancaire. Celle de l’injection SQL vise aussi bien les particuliers que les entreprises. Les hackers manipulent des bases de données en piratant le code SQL (“Structured Query Language”, langage de requête structuré) afin d’avoir accès à des informations potentiellement sensibles. Les entreprises sont des cibles idéales car leurs bases de données sont des mines d’or pour les cybercriminels pour les informations financières qu’elles contiennent. Pour ce qui est des particuliers, Daniel Markuson, expert en cybersécurité chez NordVPN, recommande “d’utiliser des cartes virtuelles à usage unique” et de “ne jamais sauvegarder ses coordonnées bancaires sur les sites marchands”, pour ne pas retrouver son numéro de carte sur le Dark Web. De manière générale, il est toujours bon de vérifier régulièrement ses comptes et de signaler immédiatement toute transaction anormale.

Le paiement sans-contact ouvre également la porte à des piratages. En l’absence de code secret, il peut être facile pour des “digital pickpockets” de pirater votre carte quand elle est dans votre sac, ou bien de capter les ondes pour accéder aux données. Daniel Markuson recommande aux utilisateurs de “mettre leur carte dans un étui métallique qui protège les pistes magnétiques de la carte bancaire”. “C’est à l’utilisateur de se responsabiliser”, ajoute le porte-parole de NordVPN. Le paiement sans-contact sur téléphone est plus sécurisé puisqu’il nécessite la validation du paiement (déverrouillage du téléphone, reconnaissance faciale ou empreinte digitale). Un système de paiement plébiscité par NordVPN : “Grâce à des applications comme Apple Pay ou Google Pay, il est possible de laisser sa carte bancaire chez soi et ainsi éviter des fraudes dans les transports avec le sans-contact.”

Autre stratagème, la technique du “phishing” vise, par l’envoi de mails ou de SMS, à tromper l’internaute afin de récupérer ses données personnelles. Malheureusement, un grand nombre d’utilisateurs sauvegardent leurs coordonnées bancaires dans des fichiers non-sécurisés. Les liens envoyés, qui peuvent infecter un ordinateur ou un smartphone, ouvrent la porte aux fraudeurs. Certains cybercriminels n'hésitent pas à se faire passer pour des conseillers bancaires pour extorquer des numéros de cartes bancaires. “Personne n’est à l’abri”, alerte l’expert de NordVPN, “méfiez-vous de tous les mails que vous recevez”. Selon lui, le meilleur moyen de s’en prémunir est de rester vigilant, d’installer des logiciels de sécurité, et d’utiliser un cryptage fort pour les fichiers qui contiennent des données bancaires et sensibles.

Enfin, il est bon de rappeler qu’un achat sur un site en ligne n’est pas dépourvu de risques. Les cybercriminels peuvent exploiter les failles de certains sites marchands pour obtenir vos coordonnées bancaires à l’aide de virus qui infectent l’ordinateur, la ligne internet ou le serveur.