Target aurait négligé des indices d’intrusion

Après McAfee, c’est au tour de Businessweek d’accabler Target. Selon nos confrères, Target avait déployé une solution de détection des intrusions signée FireEye quelque six mois avant l’intrusion dont ses systèmes de gestion des paiements par carte bancaire ont été victimes fin 2013, pour un coût de 1,6 M$. La chaîne de magasins américaine dispose d’une équipe de supervision de la sécurité à Bangalore qui a été rapidement alertée des activités suspectes du logiciel malveillant déployé sur ses systèmes. Les équipes indiennes de Target auraient alors alerté leurs collègues de Minneapolis, en vain. Ainsi, selon Businessweek, « pour une raison [inconnue], Minneapolis n’a pas réagi aux sirènes ». Surtout, l’attaque aurait pu être automatiquement bloquée, mais cette option aurait été désactivée par les équipes du groupe. En outre, le système de protection des postes déployé par Target, signé Symantec, a également identifié le logiciel malveillant.

Récemment, McAfee a souligné, de manière assez douloureuse pour le groupe américain, que l’attaque dont il a été victime « est loin d’être ‘avancée’ », évoquant l’utilisation d’un kit d’exploit « sur étagère » susceptible d’être facilement modifié et redistribué avec un minimum de compétences en programmation ou de connaissances de ses fonctionnalités. 

Pourtant, il est difficile de reprocher à Target de ne pas faire d’efforts pour garantir la sécurité de ses systèmes d’information : outre les investissements technologiques, le groupe dispose de 300 personnes dédiées à la sécurité, « un chiffre multiplié par dix depuis 2006 », a indiqué à Businessweek un ancien responsable. De quoi souligner, s’il le fallait encore, que multiplier les moyens ne suffit pas, en matière de sécurité.