Il s’agit d’une prouesse technologique que nombre d’experts pensaient ne jamais voir un jour, mais les faits leur ont donné raison, comme le révèle un rapport du service d’enquête sur les vols de données de Verizon Business.

Jusqu’à présent, les méthodes utilisées pour voler vos codes étaient relativement simples. Par exemple, une caméra cachée dans un guichet automatique ou dans une station-service filmait vos doigts en train de composer le code secret, pendant qu’unemachine dupliquait instantanément votre carte. Ou encore, un complice dans une banque volait des listes de codes au profit de groupes criminels. Ou tout simplement, on pouvait vous forcer physiquement à retirer de l’argent à un guichet.

Un voleur invisible 

Mais maintenant, plus besoin de ces stratagèmes. Le vol se produit entre le guichet où vous effectuez votre transaction et la banque où est domicilié votre compte, laquelle est chargée de vérifier la validité de l’opération.

On pensait jusqu’alors ce transfert de données numériques parfaitement sécuritaire, car les chiffres tapés sur le clavier sont automatiquement cryptés, et de manière si complexe qu’aucun ordinateur existant n’est capable de décrypter quoi que ce soit.

Mais voilà, le trajet utilisé par les chiffres cryptés passe par plusieurs «carrefours», où les chifrres sont décryptés et recryptés pour continuer leur chemin. Et il semble bien que ces «carrefours» peuvent présenter des failles…

Un logiciel espion installé à un carrefour est capable d’enregistrer toutes les données décryptées, et d’envoyer ces listes immenses aux hackers.

Plusieurs millions de dollars déjà subtilisés 

«Ce type d’attaque est d’un tout nouveau type, qui paraissait seulement théorique en 2008», dit Bryan Sartin, un des auteurs du rapport 2009 Data Breach Investigations, de Verizon Business.

Déjà, plusieurs millions de dollars américains auraient déjà été ainsi subtilisés aux Etats-Unis, soutient M. Sartin.

Il semble d’ailleurs qu’une première arrestation ait eu lieu à cet égard. Celle d’un certain Albert Gonzalez, à la tête d’un groupe d’individus ayant volé quelque 40 millions de dollars américains «à l’aide de NIP décryptés», selon ce qu’indique la plainte.

Quelle est la parade? Verizon Business ne s’avance pas trop sur le sujet, mais considère tout de même qu’il faut «revoir le système de traitement des paiements dans son intégralité».

Avec Wired.

EN SAVOIR PLUS :

Consultez le rapport de Verizon Business (PDF)