LaCie piratée pendant un an, identifiants et numéros de CB dans la nature

Heartbleed ? Même pas

Le 15 avril 2014 à 07h00

2 min

Internet

LaCie vient de publier une notification alarmante : pendant un an, une personne non autorisée utilisait des malwares afin d'accéder aux transactions des clients qui passaient par sa boutique en ligne. De nombreuses données personnelles ont ainsi été dérobées, dont des numéros de carte bancaire.

Triste mois pour la sécurité informatique. Alors que la faille Heartbleed d'OpenSSL n'a pas encore fini de faire parler d'elle, c'est LaCie qui annonce avoir été victime d'un piratage d'envergure. La société indique que, le 19 mars dernier, le FBI l'a contactée afin de l'informer qu'un pirate utilisait un malware pour récupérer des informations confidentielles. Elle a alors engagé un spécialiste de la sécurité sur internet afin de faire un état des lieux... et la situation n'est pas franchement reluisante.

En effet, les informations dérobées comprennent, entre autres, nom, prénom, adresse, email, identifiant, mot de passe associé, mais aussi et surtout des numéros de carte bancaire avec la date d'expiration. Mais pire encore, LaCie ajoute que cela a duré pendant... un an : « selon nos investigations, nous pensons que les transactions ayant eu lieu entre le 27 mars 2013 et le 10 mars 2014 sont concernées ».

LaCie précise que si vous avez remarqué une utilisation frauduleuse de votre carte de paiement, il faut immédiatement contacter votre banque. Bien évidemment, il est aussi plus que recommandé de changer de mot de passe au plus vite. Des mesures vont être prises afin de renforcer la sécurité et, en attendant qu'une solution jugée satisfaisante soit trouvée et mise en place, la boutique en ligne restera fermée, ce qui n'est pas le cas du reste du site qui continue de fonctionner normalement. Les clients impactés sont progressivement contactés depuis le 11 avril.

Quoi qu'il en soit, le retour de bâton risque d'être assez violent pour LaCie, alors que la société mise beaucoup sur la sécurité, notamment en ce qui concerne Wuala, son service stockage en ligne, qui est l'un des rares à proposer un chiffrement des données côté client. De notre côté, nous avons contacté LaCie pour avoir de plus amples informations.

Commentaires (64)

Yangzebul

Le 15/04/2014 à 12h32

ledufakademy a écrit :

Note : En l’état actuel de la technologie un SI est insécurisable (parole d’expert … que je fût et suis encore un peu …).

J’irai même plus loin, un SI par nature ne peut pas et ne pourra jamais quelque soit l’état futur de la technologie être sécurisé.

Le SI a vocation à être utilisé par un grand nombre d’intervenant, ce qui augmente donc exponentiellement les gestes stupides d’utilisateurs. Je ne compte pas le nombre de mots de passes, clés privées et autres informations extrêmement confidentielles que l’on m’a transmises par mail non sécurisé (par mégarde ou juste par flemmardise) alors que je ne suis qu’un simple prestataire sans aucune accréditation.

De plus on rajoute à ça le fait que trop souvent les DSI ne sont plus depuis longtemps composés d’informaticiens qualifiés mais au mieux :

d’une poignée de bons gestionnaires (qui externalisent à la SSII la plus concurrentielle du dernier appel d’offre)

d’une majorité d’incompétents notoires pas même capable alors qu’on leur dicte mot à mot les instructions de configurer un simple DNS (c’est pour dire le niveau)

Bah on comprends vite les désastres récurrents.

Sharkounet

Le 15/04/2014 à 13h32

Mais si, il suffit de debrancher le rj45…

Probleme reglé! " />

anonyme_97254becd5c5b064755d6772703ed968

Le 15/04/2014 à 15h07

Yangzebul a écrit :

J’irai même plus loin, un SI par nature ne peut pas et ne pourra jamais quelque soit l’état futur de la technologie être sécurisé.

Le SI a vocation à être utilisé par un grand nombre d’intervenant, ce qui augmente donc exponentiellement les gestes stupides d’utilisateurs. Je ne compte pas le nombre de mots de passes, clés privées et autres informations extrêmement confidentielles que l’on m’a transmises par mail non sécurisé (par mégarde ou juste par flemmardise) alors que je ne suis qu’un simple prestataire sans aucune accréditation.

De plus on rajoute à ça le fait que trop souvent les DSI ne sont plus depuis longtemps composés d’informaticiens qualifiés mais au mieux :

d’une poignée de bons gestionnaires (qui externalisent à la SSII la plus concurrentielle du dernier appel d’offre)

d’une majorité d’incompétents notoires pas même capable alors qu’on leur dicte mot à mot les instructions de configurer un simple DNS (c’est pour dire le niveau)

Bah on comprends vite les désastres récurrents.

" />

Xaelias

Le 15/04/2014 à 15h12

Guiguiolive a écrit :

Mais si, il suffit de debrancher le rj45…

Probleme reglé! " />

T’es plus un SI dans ce cas là j’ai envie de dire ^^

anonyme_a6c552c5fb4282d70e634ed16d39416a

Le 15/04/2014 à 15h36

Xaelias a écrit :

T’es plus un SI dans ce cas là j’ai envie de dire ^^

En fait, tout dépend de ce qu’on entend par “débrancher le câble”. Toujours est-il que ce n’est pas si aberrant que ça, dans certains cas, pour certaines parties du parc et selon l’exigence de sécurité imposée par le coeur de métier concerné.

TopQuiSuisJe

Le 15/04/2014 à 17h13

C’est rigolo que ça tombe sur une boîte française, est-ce que ça passe pour un défaut de sécurisation du coup " /> ?

Leslinieres

Le 15/04/2014 à 19h51

Quand je vois ça, comment commander sereinement sur n’importe quel autre site ? Vu que c’est tombé sur eux comme ça aurait certainement pu être le cas ailleurs… À part passer par PayPal comme intermédiaire pour ceux qui l’acceptent, et encore… " />

popolski

Le 16/04/2014 à 06h02

identifiants et numéros de CB dans la nature

e-carte à numéro unique auprès d’un seul marchand à la fois

Khalev

Le 16/04/2014 à 09h22

Leslinieres a écrit :

Quand je vois ça, comment commander sereinement sur n’importe quel autre site ? Vu que c’est tombé sur eux comme ça aurait certainement pu être le cas ailleurs… À part passer par PayPal comme intermédiaire pour ceux qui l’acceptent, et encore… " />

Les e-cartes bleues sont là pour ça: Moins de commissions et plus de sécurité.

Jarodd Abonné

Le 15/04/2014 à 08h12

YesWeekEnd a écrit :

On peut donc supposer que le malware chopait ces informations à la volée, nul besoin qu’elles soient stockées.

Quand on tape le numéro de CB, on est normalement dans le chemin de paiement, donc HTTPS. Ca veut dire que le malware arrivait à déchiffrer à la volée ce qui est (censé être) chiffré ?

Khalev

Le 15/04/2014 à 08h19

Jarodd a écrit :

Quand on tape le numéro de CB, on est normalement dans le chemin de paiement, donc HTTPS. Ca veut dire que le malware arrivait à déchiffrer à la volée ce qui est (censé être) chiffré ?

C’est surtout que selon ce que dit laCie ça ne passait jamais par eux.

Quand je tape mon mot de passe dans un module d’une banque mes infos bancaires vont directement à la banque, elles ne passent jamais par le site du marchand et en plus elles sont chiffrés avec les clés entre la banque et moi.

Tout ce que voit le marchand c’est un token de validation de la banque pour dire que j’ai payé. Je vois pas comment un malware au niveau du marchand peut récupérer le numéro de carte bleu si leCie passe réellement par un prestataire externe. (Je n’ai jamais commandé chez eux, mais au moment du paiement c’est une page laCie où c’est un page de la boite de presta?)

anonyme_a6c552c5fb4282d70e634ed16d39416a

Le 15/04/2014 à 08h21

Jarodd a écrit :

Quand on tape le numéro de CB, on est normalement dans le chemin de paiement, donc HTTPS. Ca veut dire que le malware arrivait à déchiffrer à la volée ce qui est (censé être) chiffré ?

Je suis d’accord avec ta remarque, si le malware s’attaquait directement à l’échange web. Est-ce que dans le processus de commande certaines informations sont (étaient ?) temporairement inscrites en clair côté serveur ?

Il est possible aussi que l’explication qui nous est donnée ne soit pas l’exacte description, quitte à faire crier sur les terms of use, afin de ne pas encourager d’autres exactions du même type.

anonyme_92fcfbdd6cc3f0397af3a985adab6b1b

Le 15/04/2014 à 08h22

Bill2 a écrit :

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

Dans toutes les opérations que tu cites, on peut ne pas couvrir tous les cas. Bien entendu, le risque est d’autan plus faible qu’il y a plus de vérifications, mais il ne sera jamais réduit à 0. Or, le hacker cherchera toujours une des failles pas encore vérifiées.

Et bien que je ne suis pas admin réseau, je ne pense pas me tromper en disant que ça demande un effort considérable de vérifier régulièrement la sécurité d’un serveur, bien plus que l’effort que le cracker a à faire.

Donc oui, je pense qu’un malware qui reste sur un site de ce genre peut effectivement y rester non détecté pendant longtemps sans qu’on puisse dire que l’admin est une grosse feignasse incompétente.

le podoclaste

Le 15/04/2014 à 08h22

Jarodd a écrit :

C’est tellement gros qu’on dirait un poisson d’avril pas frais. Le fait d’être averti par le FBI c’est quand même priceless… Le jour où on remet le prix Pulitzer au Washington Post et au Guardian pour la diffusion des infos de Snowden, c’est assez ironique. M’est avis qu’on n’a pas fini d’entendre ce genre de choses, malheureusement.

Je vois pas ce qu’il y a de surprenant à ce que le FBI prévienne quelqu’un d’un danger ou d’une agression qu’il subit. C’est une police “civile”, pas un service secret. C’est pas plus délirant que d’imaginer que la Police nationale face la même chose en France.

®om

Le 15/04/2014 à 08h23

En tout cas, leur transparence est à remarquer. Ça change des “y’a eu un problème, mais vous inquiétez pas tout est sécurisé y’a plus de problème, juste temporairement éventuellement quelqu’un aurait pu par inadvertance accéder malencontreusement à quelques données qui pourraient éventuellement être personnelles, mais c’est corrigé promis juré, et on ne vous donne aucune information plus précise, car nous pensons que ce n’est pas ce qui intéresse nos clients”.

StillNess

Le 15/04/2014 à 08h24

Bill2 a écrit :

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

En sécu on peut dire :

“il y a ceux qui ont été piratés et ceux qui ne le savent pas encore”.

Je ne sais pas comment ça se passe chez LaCie, mais par exemple, un rootkit peut être très complexe à détecter.

Qui plus est si derrière c’est un groupe organisé ou pas.

Jarodd Abonné

Le 15/04/2014 à 08h26

le podoclaste a écrit :

Je vois pas ce qu’il y a de surprenant à ce que le FBI prévienne quelqu’un d’un danger ou d’une agression qu’il subit. C’est une police “civile”, pas un service secret. C’est pas plus délirant que d’imaginer que la Police nationale face la même chose en France.

Donc le FBI sait qu’il y a un trou dans la raquette de LaCie, mais LaCie ne le sait pas ? C’est cela que je trouve aberrant.

Ou alors ils ont chopé un gars sur une autre affaire et il a craché le morceau " /> Mais je ne vois pas comment le FBI peut le découvrir seul. Il nous manque cette explication dans l’actu (mais personne ne doit le savoir pour l’instant).

CryoGen

Le 15/04/2014 à 08h27

StillNess a écrit :

En sécu on peut dire :

“il y a ceux qui ont été piratés et ceux qui ne le savent pas encore”.

Je ne sais pas comment ça se passe chez LaCie, mais par exemple, un rootkit peut être très complexe à détecter.

Qui plus est si derrière c’est un groupe organisé ou pas.

Et comme dit plus haut dans les commentaires, si c’est une saleté codée de zéro spécialement pour LaCie, les antivirus n’ont que très peu de chance de le détecter…

FunnyD

Le 15/04/2014 à 08h28

le podoclaste a écrit :

Je vois pas ce qu’il y a de surprenant à ce que le FBI prévienne quelqu’un d’un danger ou d’une agression qu’il subit. C’est une police “civile”, pas un service secret. C’est pas plus délirant que d’imaginer que la Police nationale face la même chose en France.

" /> Monsieur, votre machine à écrire a été piratée " />

CryoGen

Le 15/04/2014 à 08h31

Jarodd a écrit :

Donc le FBI sait qu’il y a un trou dans la raquette de LaCie, mais LaCie ne le sait pas ? C’est cela que je trouve aberrant.

Ou alors ils ont chopé un gars sur une autre affaire et il a craché le morceau " /> Mais je ne vois pas comment le FBI peut le découvrir seul. Il nous manque cette explication dans l’actu (mais personne ne doit le savoir pour l’instant).

Bah çà peut être assez simple en fait, imaginons bêtement que le FBI fasse son boulot et travaille à l’échelle nationale sur l’utilisation frauduleuse de cartes bancaires. Les agents recoupent les plaintes et voilà que dans x% des cas, un achat sur le site de laCie est présent avant le début des fraudes… bref de fil en aiguille…

le podoclaste

Le 15/04/2014 à 08h34

Jarodd a écrit :

Donc le FBI sait qu’il y a un trou dans la raquette de LaCie, mais LaCie ne le sait pas ? C’est cela que je trouve aberrant.

Ou alors ils ont chopé un gars sur une autre affaire et il a craché le morceau " /> Mais je ne vois pas comment le FBI peut le découvrir seul. Il nous manque cette explication dans l’actu (mais personne ne doit le savoir pour l’instant).

Hypothèse : le FBI surveille un mec chelou qui brasse des millions de dollars tous les mois de manière suspecte. Ils surveillent sa connexion internet, s’aperçoivent qu’il sniffe des numéro de CB depuis le site de LaCie et ponctionne quelques dollars sur les comptes correspondant.

Hypothèse, hein. Mais c’est plausible qu’une police découvre ça sans s’introduire chez LaCie.

Edit: grillé par CryoGen, avec une hypothèse plus probable.

spidy

Le 15/04/2014 à 08h38

zempa a écrit :

Je ne comprend pas pourquoi ils enregistrent les numéros de carte bancaire sur une site de vente en ligne ?

Dans pas mal de site de vente en ligne, on est redirigé vers une plateforme de paiement sur laquelle on procède au paiement. Dans ce cas, inutile d’enregistrer le numéro de carte bancaire.

les commissions à payer " />

RaYz

Le 15/04/2014 à 08h47

Jarodd a écrit :

Donc le FBI sait qu’il y a un trou dans la raquette de LaCie, mais LaCie ne le sait pas ? C’est cela que je trouve aberrant.

Ou alors ils ont chopé un gars sur une autre affaire et il a craché le morceau " /> Mais je ne vois pas comment le FBI peut le découvrir seul. Il nous manque cette explication dans l’actu (mais personne ne doit le savoir pour l’instant).

Ca arrive régulièrement que le FBI chope des mecs et informe les victimes. Ca doit être le cas ici.

cid_Dileezer_geek

Le 15/04/2014 à 08h48

LaCie travaillait pour La CiA…" />" />

FunnyD

Le 15/04/2014 à 08h56

Hypothése simple, le FBI fait un achat sur le site de LaCie, et ils voient un paiement bizarre sur leurs comptes suite à cet achat, ils enquetent, eet remontent jusqu’au galopin." />" />

anonyme_97254becd5c5b064755d6772703ed968

Le 15/04/2014 à 09h04

Bill2 a écrit :

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

Vas, y ils t’attendent, sécurises nous tous çà.

anonyme_a6c552c5fb4282d70e634ed16d39416a

Le 15/04/2014 à 09h06

Une nouvelle expression verra peut-être le jour : LaCie, clients fidèles.

Jarodd Abonné

Le 15/04/2014 à 09h15

Sinon l’actu n’est pas claire : Wuala est touché ou pas ? C’est la même infra que le site en ligne ou pas ?

raphke

Le 15/04/2014 à 09h49

“LaCie précise que si vous avez remarqué une utilisation frauduleuse de votre carte de paiement, il faut immédiatement contacter votre banque”

==> Dans tous les cas il FAUT suivre très régulièrement ses transactions bancaires et de cartes de crédit et au moins ses soldes

Pour le reste je trouve que c’est une nouvelle fois une bonne piqûre de rappel ce(s) problème(s) de sécurité qui sont soulevé(s). C’est un travail permanent.

Bug

Le 15/04/2014 à 10h28

Jarodd a écrit :

PCI, un petit interview de quelqu’un de LaCie est-il prévu ? Histoire d’avoir quelques explications…

La news a écrit :

De notre côté, nous avons contacté LaCie pour avoir de plus amples informations.

Encore un qui n’a pas tout lu " />

neves

Le 15/04/2014 à 10h40

raphke a écrit :

“LaCie précise que si vous avez remarqué une utilisation frauduleuse de votre carte de paiement, il faut immédiatement contacter votre banque”

==> Dans tous les cas il FAUT suivre très régulièrement ses transactions bancaires et de cartes de crédit et au moins ses soldes

Pour le reste je trouve que c’est une nouvelle fois une bonne piqûre de rappel ce(s) problème(s) de sécurité qui sont soulevé(s). C’est un travail permanent.

A chaque fois que je lis ce genre de news, moi ça me rappelle surtout que ma banque (le crédit patate) n’a toujours pas (et ne veut pas, d’après mon banquier…) mettre en place un système de carte bancaire virtuelle, qui résoudrait pourtant bien des problèmes, coté acheteur.

raphke

Le 15/04/2014 à 10h48

neves a écrit :

A chaque fois que je lis ce genre de news, moi ça me rappelle surtout que ma banque (le crédit patate) n’a toujours pas (et ne veut pas, d’après mon banquier…) mettre en place un système de carte bancaire virtuelle, qui résoudrait pourtant bien des problèmes, coté acheteur.

Euhhh carte bancaire … virtuelle ? Pour moi c’est contradictoire carte et virtuelle

Tu as un compte et tu as un moyen de paiement virtuel mais carte ? Je n’ai pas compris :(

Jarodd Abonné

Le 15/04/2014 à 10h50

Bug a écrit :

Encore un qui n’a pas tout lu " />

Une information supplémentaire n’est pas forcément une interview " />

neves

Le 15/04/2014 à 10h51

raphke a écrit :

Euhhh carte bancaire … virtuelle ? Pour moi c’est contradictoire carte et virtuelle

Tu as un compte et tu as un moyen de paiement virtuel mais carte ? Je n’ai pas compris :(

Tu vas sur un site de ta banque (la caisse d’épargne le fait par exemple), tu t’identifies et tu rentre un montant, disons 100 €, et le site te génère un numéro de carte bancaire valide, qui ne “contient” que 100 € (soit le montant de la commande que tu vas effectuer juste après). Si quelqu’un pirate le site et récupère le numéro de carte bancaire, il ne pourra rien en faire, la carte sera “vide”, et il n’aura jamais ta vraie carte bancaire physique.

raphke

Le 15/04/2014 à 11h02

neves a écrit :

Tu vas sur un site de ta banque (la caisse d’épargne le fait par exemple), tu t’identifies et tu rentre un montant, disons 100 €, et le site te génère un numéro de carte bancaire valide, qui ne “contient” que 100 € (soit le montant de la commande que tu vas effectuer juste après). Si quelqu’un pirate le site et récupère le numéro de carte bancaire, il ne pourra rien en faire, la carte sera “vide”, et il n’aura jamais ta vraie carte bancaire physique.

Ah oki ! Merci !

Donc c’et un peu comme une carte de téléphone prépayée (ou autres cartes de crédit prépayées).

Tu ne paies que ce que tu y as mis dessus et si on te pirate tu ne perdras ‘que’ ce qui y était (et encore, il y a peut-être des moyens de contestation). C’est ça ? J’ai compris ?

neves

Le 15/04/2014 à 11h16

raphke a écrit :

Ah oki ! Merci !

Donc c’et un peu comme une carte de téléphone prépayée (ou autres cartes de crédit prépayées).

Tu ne paies que ce que tu y as mis dessus et si on te pirate tu ne perdras ‘que’ ce qui y était (et encore, il y a peut-être des moyens de contestation). C’est ça ? J’ai compris ?

toutafé " />

Chloroplaste

Le 15/04/2014 à 11h46

neves a écrit :

A chaque fois que je lis ce genre de news, moi ça me rappelle surtout que ma banque (le crédit patate) n’a toujours pas (et ne veut pas, d’après mon banquier…) mettre en place un système de carte bancaire virtuelle, qui résoudrait pourtant bien des problèmes, coté acheteur.

Un très bon système en effet.

Je l’utilise systématiquement, même sur les grands sites marchands.

Un système qui ajoute une sécurité supplémentaire sans que tes vraies données de CB ne se retrouvent jamais stockées sur un quelconque serveur quelque part dans le monde.

gathor Abonné

Le 15/04/2014 à 12h04

Jarodd a écrit :

Une information supplémentaire n’est pas forcément une interview " />

Dans les deux cas, il faudrait déjà qu’on ait un début de réponse" />

anonyme_5308cee4763677866e1421efa4474f79

Le 15/04/2014 à 12h06

neves a écrit :

A chaque fois que je lis ce genre de news, moi ça me rappelle surtout que ma banque (le crédit patate) n’a toujours pas (et ne veut pas, d’après mon banquier…) mettre en place un système de carte bancaire virtuelle, qui résoudrait pourtant bien des problèmes, coté acheteur.

Bien pratique, car tout est modifié, y compris le code CVV à 3 chiffres derrière, la date de péremption de la carte (1 mois, le temps que le marchand fasse le prélèvement) et le montant limité (souvent, celui de l’achat donc unique). A ça, je mets souvent un faux nom (vu que le n° de l’e-CB est juste, ça ne change rien) pour éviter à mettre le mien, 0 souci.

anonyme_97254becd5c5b064755d6772703ed968

Le 15/04/2014 à 12h13

StillNess a écrit :

En sécu on peut dire :

“il y a ceux qui ont été piratés et ceux qui ne le savent pas encore”.

Je ne sais pas comment ça se passe chez LaCie, mais par exemple, un rootkit peut être très complexe à détecter.

Qui plus est si derrière c’est un groupe organisé ou pas.

pas mieux.

Futureman

Le 15/04/2014 à 12h21

Internet en 2014 " />

Mr.Nox

Le 15/04/2014 à 07h06

Un an. :|

Winderly

Le 15/04/2014 à 07h22

le FBI l’a contactée afin de l’informer qu’un pirate utilisait un malware pour récupérer des informations confidentielles

Le FBI… le FBI ???

Cara62

Le 15/04/2014 à 07h29

Winderly a écrit :

Le FBI… le FBI ???

Le FBI est là pour nous protéger. Normal. " />

" />

anonyme_6d3c8325027b08b8beb8eb7f143f3660

Le 15/04/2014 à 07h29

Winderly a écrit :

Le FBI… le FBI ???

Oui aux states c’est le fbi qui s’occupe des marins d’eau douce.

Mais ça veut dire que si le mec ne s’était pas fait gaulé, lacie continuerait de fuiter des info clients ?

http://www.lacie.com/fr/legal/terms.htm

ARTICLE 10 : SECURISATION

Notre site fait l’objet d’un système de sécurisation: Nous avons adopté le procédé de cryptage SSL mais nous avons aussi renforcé l’ensemble des procédés de brouillage et de cryptage pour protéger le plus efficacement possible toutes les données sensibles liées aux moyens de paiement.

Pour protéger ses clients contre une éventuelle intrusion, LaCie S.A.S. ne stocke pas les numéros de carte bancaire sur ses serveurs informatiques. Les numéros de carte bancaire sont traités par SIPS ATOS qui retourne à LaCie S.A.S. un numéro d.autorisation

Donc c’est du bullshit ce qu’ils racontent sur la sécurisation s’ils se sont fait tapés les numéros de cb.

anonyme_92fcfbdd6cc3f0397af3a985adab6b1b

Le 15/04/2014 à 07h30

Je pense que LaCie se serait bien passé de divulguer cette information. Parce que là, je ne vois même pas comment ils arriveraient à conserver ne serait-ce qu’un seul client.

Ar-no

Le 15/04/2014 à 07h35

Et la NSA (ou pire…) a accès à tout les disques durs de la marque ? " />

thotor

Le 15/04/2014 à 07h36

darkbeast a écrit :

http://www.lacie.com/fr/legal/terms.htm

Donc c’est du bullshit ce qu’ils racontent sur la sécurisation s’ils se sont fait tapés les numéros de cb.

Ca c’est intéressant! On lit ces lignes partout : “XXX. ne stocke pas les numéros de carte bancaire sur ses serveurs informatiques”. La plupart des sites ne feraient-ils qu’un copier/coller des conditions légales sans même les lire et se les appliquer? Ca ne m’étonnerait qu’à moitié :/

zempa Abonné

Le 15/04/2014 à 07h36

Je ne comprend pas pourquoi ils enregistrent les numéros de carte bancaire sur une site de vente en ligne ?

Dans pas mal de site de vente en ligne, on est redirigé vers une plateforme de paiement sur laquelle on procède au paiement. Dans ce cas, inutile d’enregistrer le numéro de carte bancaire.

anonyme_447570885b66ca42145fd71079a75237

Le 15/04/2014 à 07h37

J’ai pas bien compris : Il était où le malware ? Qui est concerné ? Seuls ceux qui avaient ce malware sur leur machine ou tous les utilisateurs des services LaCie ?

anonyme_97254becd5c5b064755d6772703ed968

Le 15/04/2014 à 07h41

je ne sais plus qui sur pcinpact qui me disait être encore capable de sécuriser efficacement un SI …

Allez sans rancune.

Note : En l’état actuel de la technologie un SI est insécurisable (parole d’expert … que je fût et suis encore un peu …).

Edit : C’est d’ailleurs pour cela que les news sur les failles/sécu etc …me font rire ou … pas. Car le stock de news de se type sera inépuisable.

Bill2

Le 15/04/2014 à 07h41

Euh, le malware était situé où ? Sur les serveurs de LaCie ?

ttyb0

Le 15/04/2014 à 07h41

darkbeast a écrit :

Donc c’est du bullshit ce qu’ils racontent sur la sécurisation s’ils se sont fait tapés les numéros de cb.

Faut lire aussi :

… afin d’accéder aux transactions des clients qui passaient par sa boutique en ligne.

Les données proviennent de flux, pas d’espaces de stockages.

FunnyD

Le 15/04/2014 à 07h44

darkbeast a écrit :

http://www.lacie.com/fr/legal/terms.htm

Donc c’est du bullshit ce qu’ils racontent sur la sécurisation s’ils se sont fait tapés les numéros de cb.

A savoir si il s’agit de numéro de carte bvancaires des clients du monde entier ou qu’aux états unis par exempe, p-e que pour les clients d’autres pays ils changent selon la législation des pays en question

StillNess

Le 15/04/2014 à 07h45

Bill2 a écrit :

Euh, le malware était situé où ? Sur les serveurs de LaCie ?

Il semblerait oui.

Khalev

Le 15/04/2014 à 07h47

tuorhuor a écrit :

Les données proviennent de flux, pas d’espaces de stockages.

Les flux ne passent pas par laCie non plus selon ce que je lis dans les conditions d’utilisation.

Bill2

Le 15/04/2014 à 07h50

StillNess a écrit :

Il semblerait oui.

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

XMalek

Le 15/04/2014 à 07h51

Bill2 a écrit :

Euh, le malware était situé où ? Sur les serveurs de LaCie ?

Oui et il enregistrait toutes les transactions si on lis l’article.

Pour ça qu’il faut que les services d’intermédiaire de transaction se “généralisent” (et soit à mort surveillé, voir soit contrôlé par l’état / banque de france) pour éviter de diffuser ta cb dans la nature. Le site marchand reçoit juste un “numéro de transaction bancaire unique” et ne voit jamais tes informations personnelles autre que ton adresse.

anonyme_69736061fe834a059975aa425bebeb6d

Le 15/04/2014 à 07h51

Ce n’est que la partie visible de l’iceberg…

zempa Abonné

Le 15/04/2014 à 07h58

Bill2 a écrit :

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

Je n’aimerai pas être à la place du service sécurité… " />

Khalev

Le 15/04/2014 à 08h04

Bill2 a écrit :

Comment on peut laisser un malware sur un serveur pendant 1 an ? " />

Pas d’audit régulier ?

Pas d’antivirus ?

Pas de firewall correctement configuré ?

Analyse des logs / process lancés ?

On parle d’une boite d’e-commerce là.

L’antivirus sert à rien si c’est un malware spécial laCie

Le firewall ne protège plus tellement une fois que le malware est à l’intérieur

si le malware a les droits roots les logs ne sont plus fiables.Pour les process lancés si le malware utilise une lib vérolée comme le fait Linux/Ebury par exemple ça se verra pas.

Il faut voir le type de malware et comment il a été installé pour savoir où ça a péché du côté de laCie.

megadub

Le 15/04/2014 à 08h10

ha oui… alors ça c’est ballot " />

anonyme_a6c552c5fb4282d70e634ed16d39416a

Le 15/04/2014 à 08h10

darkbeast a écrit :

Donc c’est du bullshit ce qu’ils racontent sur la sécurisation s’ils se sont fait tapés les numéros de cb.

Je ne pense pas.

L’article parle des info passées par la boutique en ligne. Donc des informations soumises par le client via son navigateur lors d’une commande.

On peut donc supposer que le malware chopait ces informations à la volée, nul besoin qu’elles soient stockées.

Il semble qu’ils aient été défaillant sur la plus vieille faille du monde : le vers dans la pomme. Tu peux avoir les plus belles murailles, si un méchant ouvre la porte c’est foutu. Bouillon est tombé comme ça (ref historique en état non caféiné)

Jarodd Abonné

Le 15/04/2014 à 08h11

C’est tellement gros qu’on dirait un poisson d’avril pas frais. Le fait d’être averti par le FBI c’est quand même priceless… Le jour où on remet le prix Pulitzer au Washington Post et au Guardian pour la diffusion des infos de Snowden, c’est assez ironique. M’est avis qu’on n’a pas fini d’entendre ce genre de choses, malheureusement.

PCI, un petit interview de quelqu’un de LaCie est-il prévu ? Histoire d’avoir quelques explications…

zempa a écrit :

Je n’aimerai pas être à la place du service sécurité… " />

Probablement externalisé, donc ils vont se renvoyer la balle, “obligation de moyen ou de résultat”, “cas de force majeure”, blablabla, voire aller au procès, et au final on ne saura jamais qui est responsable.

Catégories

Nous Suivre

À propos

LaCie piratée pendant un an, identifiants et numéros de CB dans la nature

Heartbleed ? Même pas

Commentaires (64)