Коллектив Авторов - Цифровой журнал «Компьютерра» № 205

Сначала злоумышленники заручились поддержкой сотрудника Target, имеющего доступ к серверу (или системе серверов), с которого распространяются прошивки для кассовых аппаратов или кардридеров компании. На втором этапе эту прошивку дизассемблировали и внесли в неё некоторые изменения. На третьем — модифицированная прошивка вернулась на сервер и была (под видом апдейта) разослана по магазинам, после чего начался собственно сбор номеров. Предполагается, что вынести накопленные сведения из корпоративного интранета помог тот же завербованный сотрудник. Возможно даже, что его личность уже установлена, но компания молчит, не желая потерять лицо: имя всплывёт лишь много месяцев спустя, когда массовая истерия уляжется.

Тем временем награбленное уже затопило чёрный рынок: на кардерских сайтах обнаружены гигантские, вплоть до миллиона номеров в каждом, карточные «дампы» из магазинов Target. В розницу за одну карту просят от 20 долларов (сравнительно высоко оценён, в частности, пластик, эмитированный банками за пределами США: Сингапур, ОАЭ, Южная Корея). Банки отчасти уже в курсе случившегося и намерены перевыпустить «тысячи» скомпрометированных карт до конца года. Однако, учитывая, что украдены были номера не каждой карты, отметившейся в Target в период с конца ноября по середину декабря, можно предположить, что точных сведений у банков нет. Следовательно, лучшим решением для людей, отоварившихся в Target за последний месяц, будет проявить инициативу и как можно скорее перевыпустить карту.

Даже ленивым американцам, впрочем, будет сравнительно легко выйти из этой ситуации без потерь: опротестование карточных платежей для них — рутинная операция; в худшем случае останутся на время разбирательства (месяц) без привычной кредитной линии. Хуже придётся Target. Один судебный иск против неё уже подан, компания предоставила на минувшие выходные 10-процентную скидку на всё для всех — и всё равно ожидается, что обыватель теперь дважды подумает, куда отправиться за покупками и подарками к Рождеству. Результаты расследования могут ещё усугубить её положение.

А представьте, чем обернулось бы происшествие такого масштаба в России! Всё необходимое у нас уже есть: культура потребления «пластика» сформировалась, есть и подходящий по размерам ритейлер — «Магнит» (около 7 тысяч «карманных» магазинов). Случись утечка на десятки миллионов номеров — и финансовыми проблемами для одной компании не отделаемся: это будет национальная трагедия. Ведь опротестовать платёж по карте в России практически невозможно — а значит, инцидент приведёт к потере доверия не к одному конкретному продавцу, а к карточной системе в целом (и без того смущающей старшее поколение). Странно, что российские взломщики — похоже, орудовавшие в Target — пока игнорируют отечественного производителя.

В статье использованы иллюстрации Krebs on Security, Kevin Dooley.

К оглавлению