E-commerce : les voleurs de numéros de carte bancaire font toujours plus de victimes

Le phénomène Magecart ne cesse de prendre de l’ampleur. Sous ce nom se cache un ensemble de groupes de hackers dont la spécialité est le vol de numéros de carte bancaire directement depuis la page de paiement, typiquement au travers d’un code Javascript malveillant. Cette technique s’est fait connaître en 2018, avec le piratage spectaculaire de quelques grands noms de l’e-commerce comme Ticketmaster, British Airways ou Newegg.

En réalité, ce piratage existe depuis une dizaine d’années. Selon les chercheurs en sécurité de RiskIQ, qui ont procédé à des analyses de données télémétriques, les premiers codes Javascript malveillants de ce type dateraient de 2010. Depuis, cette technique aurait déjà fait plus de 2 millions de victimes dans le monde.

Services web tiers, routeurs Wi-Fi, stockage Amazon S3, publicités…

Les techniques d’infections varient. Le « Groupe 5 », l’un des plus actifs de Magecart, adore cibler les sociétés de services internet, qui fournissent aux éditeurs des services d’analyse ou des fonctionnalités clé en main. Ce qui permet d’infecter un grand nombre de sites en même temps. Selon une étude d’IBM X Force, ce groupe cherche également à pirater des routeurs Wi-Fi vulnérables dans les zones publiques – aéroports, hôtels, etc. – pour injecter des scripts malveillants à la volée.

Un autre groupe s’est spécialisé dans la détection d’espaces de stockage Amazon S3 vulnérables. C’est apparemment un excellent filon. Depuis avril 2018, les hackers auraient ainsi réussi à insérer leur code malveillant sur plus de 18 000 sites web. D’autres groupes se focalisent sur les vulnérabilités de plates-formes e-commerce comme Magento ou OpenCart, qui sont utilisées par des milliers de sites. D’autres encore tentent d’infecter les sites par le biais des serveurs de publicité. C’est ce qui s’est produit, par exemple, avec la régie pub du groupe La Poste.

Cette prolifération d’attaques est d’autant plus grave que les scripts malveillants ne sont détectés, en moyenne, qu’au bout de 22 jours. On comprend mieux pourquoi le nombre de victimes est aussi élevé. Et ce n’est pas fini. Selon RiskIQ, les groupes Magecart devraient continuer à se multiplier… et le nombre de victimes augmenter.