Compromission des points de vente Home Depot

Le 8 septembre 2014, The Home Depot a confirmé enquêter sur une compromission de ses systèmes de paiement. Le 18 septembre, le distributeur de bricolage a révélé qu'environ 56 millions de cartes de paiement avaient été compromises dans ses magasins américains et canadiens — la plus grande compromission de cartes du secteur de la distribution de son époque, dépassant l'intrusion de Target en 2013 et celle de TJX en 2005.

Ce qui s'est passé

Les attaquants ont pris pied initialement à l'aide d'identifiants de connexion volés à un prestataire tiers. Depuis cette tête de pont, ils se sont introduits dans le réseau d'entreprise de Home Depot, puis ont atteint les systèmes de points de vente des caisses automatiques, moins directement surveillées que les caisses tenues par du personnel.

Sur ces terminaux, les intrus ont installé un logiciel malveillant sur mesure pour points de vente — largement décrit comme une variante de la famille BlackPOS / FrameworkPOS — conçu pour extraire les données de cartes de paiement non chiffrées de la mémoire de l'appareil au moment où la carte était lue. Le logiciel a opéré d'environ avril à septembre 2014, soit près de cinq mois, avant d'être détecté.

Ce qui a été exposé

• Environ 56 millions de cartes de paiement uniques (données de piste collectées au point de vente).
• Environ 53 millions d'adresses e-mail de clients, révélées plus tard en 2014.

Comme le logiciel malveillant capturait les données de carte en mémoire avant leur chiffrement, même les cartes traitées par des terminaux censés être sécurisés ont été exposées.

Impact

La compromission a coûté à Home Depot environ 179 millions de dollars en règlements et frais connexes, dont :

• Un règlement de 134,5 millions de dollars avec les réseaux de cartes de paiement et les banques émettrices au titre des fraudes et des coûts de réémission des cartes, ainsi que des versements supplémentaires aux coopératives de crédit.
• Un règlement d'action collective de consommateurs et des services de protection contre l'usurpation d'identité.
• Un règlement multi-États de 17,5 millions de dollars en novembre 2020 avec 46 États américains et le district de Columbia.

En réponse, Home Depot a accéléré le déploiement du chiffrement de point à point (avec Voltage Security) dans ses magasins américains et a adopté des terminaux à carte à puce EMV.

Pourquoi c'est important

Home Depot, survenant moins d'un an après la compromission de Target, a martelé deux leçons pour la sécurité du commerce de détail. Premièrement, l'accès des prestataires tiers est une voie d'attaque majeure — le même vecteur que celui ayant compromis Target — et doit être strictement segmenté et surveillé. Deuxièmement, les systèmes de points de vente qui traitent les données de carte en mémoire non chiffrée sont intrinsèquement exposés ; l'incident a accéléré la transition du secteur américain de la distribution vers le chiffrement de point à point et les cartes à puce EMV, qui chiffrent les données de carte de bout en bout et rendent les données de piste magnétique collectées bien moins exploitables par les fraudeurs.