Hackeři se dostali k pokladnám Targetu přes klimatizační firmu. Unikla data 40 milionů karet
Během předvánoční nákupní sezony roku 2013 pronikli kyberzločinci do sítě amerického řetězce Target. Přístup získali přes ukradené údaje externí klimatizační firmy, poté napadli pokladny. Unikla data asi 40 milionů platebních karet a kontaktní údaje až 70 milionů zákazníků. Případ patřil ve své době k největším útokům na maloobchod.
Co v článku najdete
Target je pro Američany řetězec, do kterého se chodí pro potraviny, oblečení, hračky, kosmetiku i vánoční dárky. Právě během nejrušnější části roku, mezi Dnem díkůvzdání a Vánocemi, se z běžného placení u pokladny stal zdroj dat pro pachatele.
Útok začal nenápadně. Nešlo o přepadení prodejny, odcizený trezor ani zaměstnance, který by vynášel čísla karet. Útočníci využili přístupové údaje firmy, která pro Target zajišťovala služby spojené s vytápěním, větráním a chlazením. Poté se dostali dál, až k pokladním systémům ve stovkách prodejen.
Údaje z karet mizely přímo při placení
Útok zasáhl platební karty použité v amerických prodejnách Targetu mezi 27. listopadem a 18. prosincem 2013. Řetězec veřejně potvrdil problém 19. prosince, poté co se o něm začalo psát v médiích.
Pachatelé do pokladen nainstalovali škodlivý program označovaný jako malware pro RAM scraping. Jednoduše řečeno: program zachytil údaje ve chvíli, kdy se při placení kartou krátce objevily v paměti pokladního systému, ještě než se bezpečně předaly dál ke zpracování platby.
Získali tak data z přibližně 40 milionů kreditních a debetních karet: mimo jiné čísla karet, data platnosti a údaje z magnetického proužku. Tyto informace mohly sloužit k výrobě padělaných karet nebo k dalším podvodům.
Senátní výbor USA ve své analýze uvedl, že odcizená data byla následně vyvedena na servery mimo síť Targetu a objevovala se na černém trhu s údaji z platebních karet.
Přístup vedl přes firmu na klimatizace
Vstupním bodem útoku nebyla přímo pokladna ani zákaznický účet. Podle vyšetřování pachatelé získali přihlašovací údaje společnosti Fazio Mechanical Services, která pro Target poskytovala služby v oblasti vytápění, chlazení a větrání.
Dodavatel měl vzdálený přístup do části sítě Targetu kvůli fakturaci, smluvním podkladům a správě projektů. To samo o sobě neznamenalo přístup k údajům o kartách. Útočníci však dokázali využít ukradené údaje k pohybu z méně citlivé části sítě do systémů, které už pracovaly se zákaznickými a platebními daty.
Je důležité rozlišovat odpovědnost: externí firma nebyla pachatelem útoku. Její přihlašovací údaje byly podle vyšetřování zneužity jako vstupní bod. Případ zároveň ukázal, jak velké riziko může představovat i zdánlivě omezený přístup dodavatele do firemní sítě.
Generální prokurátoři amerických států později popsali, že pachatelé přes údaje třetí strany získali přístup k serveru Targetu, nainstalovali malware a odcizili data včetně jmen, telefonních čísel, e-mailů, poštovních adres, údajů o kartách i šifrovaných PINů k debetním kartám.
Kenishirotie / Shutterstock.com
Kromě karet unikly i údaje o zákaznících
Po prvním oznámení o kartách následovalo další zjištění. Target uvedl, že útočníci získali také jména, poštovní adresy, telefonní čísla a e-mailové adresy až 70 milionů zákazníků.
Toto číslo nelze jednoduše přičíst k 40 milionům karet. Část lidí se v obou skupinách překrývala. Přesnější je proto uvádět dvě samostatné položky: přibližně 40 milionů platebních karet a až 70 milionů záznamů s osobními údaji.
V době zveřejnění šlo o jeden z největších a nejvýznamnějších útoků na maloobchod v USA. Nešlo jen o rozsah dat, ale i o okamžik: útok probíhal v době, kdy lidé před Vánoci nakupovali ve velkém a často platili kartou.
Bezpečnostní systém varoval, Target podle senátu nereagoval
Případ vyvolal otázku, zda bylo možné útoku zabránit. Senátní analýza dospěla k závěru, že Target podle všeho nevyužil několik příležitostí, kdy mohl postup pachatelů zastavit.
Bezpečnostní systém měl vydat opakovaná automatická varování ve chvíli, kdy útočníci do sítě instalovali malware a později připravovali odchod s daty. Zpráva uvádí, že Target na tyto signály zřejmě nereagoval a nedovolil ani automatické odstranění škodlivého programu.
Dalším problémem bylo oddělení jednotlivých částí sítě. Útočníci se podle senátního výboru dokázali přesunout z prostoru určeného pro externího dodavatele až k nejcitlivějším systémům firmy.
Target zaplatil 18,5 milionu dolarů
Právní dohry se netýkaly jen pachatelů, ale především odpovědnosti řetězce za zabezpečení dat zákazníků.
V roce 2017 uzavřel Target dohodu s 47 státy a Washingtonem, D. C., a zaplatil 18,5 milionu dolarů. Šlo tehdy o nejvyšší vícestátní vyrovnání v případu úniku dat.
Dohoda neznamenala trestní odsouzení společnosti. Řešila obvinění, že Target neposkytl přiměřené zabezpečení dat. Součástí vyrovnání byla povinnost posílit ochranu platebních údajů, zavést komplexní program informační bezpečnosti, určit vedoucího pracovníka odpovědného za tuto oblast a nechat systém prověřovat nezávislou stranou.
Kyberzločin, který změnil pohled na pokladny
Příběh Targetu není jen technický případ pro bezpečnostní experty. Dotkl se lidí, kteří udělali naprosto běžnou věc: vybrali si zboží, přiložili kartu k terminálu a odešli s nákupem domů.
Útok ukázal, že ochrana zákaznických dat nezačíná až u samotné pokladny. Záleží i na tom, komu firma umožní vstup do své sítě, jak jsou oddělené jednotlivé systémy a zda někdo dokáže včas reagovat na varování.
Target nebyl pachatelem kyberútoku, ale vyšetřování i následné dohody připomněly, že velký řetězec nese odpovědnost za to, jak chrání informace lidí, kteří u něj nakupují. V tomto případě stačil jeden zneužitý přístup dodavatele, aby se útok dostal až k milionům platebních karet.
Zdroje: Senátní výbor USA, Generální prokurátor státu Virginie, Kalifornské ministerstvo spravedlnosti
Německo
Polsko
Rakousko
Slovensko