Vol de données de cartes de paiement au groupe Hilton

Hilton vient d’indique que ses terminaux de points de vente ont été compromis par un logiciel malveillant utilisé afin de dérober des détails de cartes de paiement. Les données volées recouvrent noms et prénoms des porteurs, numéros de cartes, dates d’expiration, et codes de sécurité. Les adresses et codes PIN ne figurent pas dans la liste des données subtilisées, mais celles-ci peuvent toutefois être utilisées pour créer de fausses cartes ou procéder à des achats par correspondance, en ligne notamment.

Le groupe Hilton, qui possède 4500 hôtels à travers le monde, n’a pas indiqué combien de clients pourraient être concernés. Le groupe n’a pas non plus précisé si l’incident s’étendait aux restaurants, bars et autres boutiques installées dans ses hôtels.

Il recommande à ses clients de surveiller l’activité de leurs cartes, s’ils ont payé leur séjour par carte entre le 18 novembre et le 5 décembre 2014, et entre le 21 avril et le 27 juillet 2015. Certains clients concernés sont susceptibles de recevoir un an de service de surveillance des activités cartes gracieusement.

Cette révélation du groupe Hilton suit de quelques jours celle du groupe Starwood, qui compte notamment les hôtels Sheration, W et Méridien. Dans un communiqué, ce dernier a récemment fait part de la compromission des terminaux de point de vente de plus de 50 de ses établissements en Amérique du Nord, à des périodes différentes. Là, le logiciel malveillant ne s’est pas contenté de touché la réception : il s’est propagé à « certains restaurants, boutiques cadeau », etc. Là encore, le groupe offre un an de service de surveillance des activités cartes.

En début d’année, c’est le groupe hôtelier Mandarin Oriental qui avait été la cible de pirates en quête de détails de cartes de paiement.

Et c’est dans ce contexte qu’iSight Partners vient de publier une étude ModPOS, un framework conçu pour viser les systèmes de paiement des commerçants américains. Mais « très difficile à détecter », ce logiciel malveillant pourrait « être utilisé pour des campagnes plus vastes ». En particulier, selon iSight Partners, ModPOS se distingue par une base de code modulaire « qui insiste lourdement sur la dissimulation et la persistance. Ainsi, ModPOS peut passer inaperçu de nombreux types de défense modernes ».

Avec nos confrères de ComputerWeekly (groupe TechTarget).