Des données sensibles de plus de 100 millions de titulaires de cartes de crédit et de débit ont été divulguées sur le Dark Web, selon un chercheur en sécurité. Les données comprenaient les noms complets, les numéros de téléphone et les adresses e-mail des titulaires de carte, ainsi que les quatre premier et dernier chiffres de leurs cartes. Il semble avoir été associé à la plate-forme de paiement Juspay qui traite les transactions pour les marchands indiens et mondiaux, notamment Amazon, MakeMyTrip et Swiggy, entre autres. La startup basée à Bengaluru a reconnu que certaines de ses données utilisateur avaient été compromises en août.

Les données ont fait surface sur le Web sombre est liée aux transactions en ligne qui ont eu lieu au moins entre mars 2017 et août 2020, suggèrent les fichiers partagés avec Gadgets 360. Il comprenait les détails personnels de plusieurs titulaires de carte indiens ainsi que les dates d’expiration de leur carte, les identifiants de client et les numéros de carte masqués avec les quatre premiers et derniers chiffres des cartes entièrement visibles. Cependant, des détails de transaction ou de commande particuliers ne font apparemment pas partie de la fuite.

Les détails en surface pourraient être combinés avec les informations de contact disponibles dans la décharge par des escrocs pour lancer des attaques de phishing sur les titulaires de carte concernés.

Le chercheur en cybersécurité Rajshekhar Rajaharia a découvert le dépotoir de données plus tôt cette semaine. Il a déclaré à Gadgets 360 que les données divulguées étaient en vente sur le Dark Web par un pirate informatique.

«Le pirate informatique contactait des acheteurs sur Telegram et demandait des paiements en Bitcoin», A déclaré Rajaharia.

Il a déclaré à Gadgets 360 que le vidage de données se vendait sur le Web sombre sous le nom de Juspay et il a pu trouver son lien avec l’entreprise après quelques observations. La société a également confirmé une violation de données à Gadgets 360, sans fournir plus de détails.

Le chercheur a déclaré que pour vérifier l’association avec Juspay, il a comparé les champs de données disponibles dans les fichiers d’exemples de vidage MySQL qu’il a reçus du pirate avec un fichier de document API Juspay. «Les deux étaient exactement les mêmes», dit-il.

Sans fournir de détails sur la dernière fuite de données, le fondateur de Juspay, Vimal Kumar, a déclaré à Gadgets 360 qu’une «tentative non autorisée a été détectée» le 18 août et s’est terminée lorsqu’elle était en cours.

« Aucun numéro de carte, aucun identifiant financier ou aucune donnée de transaction n’a été compromis », a déclaré Kumar dans un e-mail. « Les enregistrements de données contenant des e-mails non anonymisés, des numéros de téléphone et des cartes masquées utilisées à des fins d’affichage (contient les quatre premiers et les quatre derniers chiffres de la carte, qui ne sont pas considérés comme sensibles), ont été compromis. »

Kumar a ajouté que les e-mails et les informations mobiles constituaient « une petite fraction des 10 enregistrements de crore » et la plupart des informations étaient anonymisées sur les serveurs. Il a également affirmé que les 10 enregistrements de crore n’étaient pas les détails de la carte et étaient les métadonnées du client, avec un sous-ensemble contenant des informations sur les e-mails et les mobiles des utilisateurs.

«Les données de carte masquées (données non sensibles utilisées pour l’affichage) qui ont été divulguées ont deux enregistrements de crore. Notre coffre-fort de cartes se trouve dans un système conforme PCI différent et il n’a jamais été consulté », a-t-il déclaré.

Rajaharia a allégué que bien qu’ils soient masqués, les numéros de carte pourraient être déchiffrés si un pirate informatique découvrait l’algorithme utilisé pour les empreintes digitales de la carte. Cependant, Kumar n’était pas d’accord avec le chercheur.

«Nous faisons des centaines de tours de hachage avec plusieurs algorithmes et avons également un sel (un autre numéro ajouté au numéro de carte). Les algorithmes que nous utilisons ne sont actuellement pas possibles pour le reverse engineering, même avec suffisamment de ressources de calcul », a-t-il déclaré.

Juspay a reçu des échantillons de données de son partenaire de cybersécurité Cyble il y a quelques jours, il évalue toujours. Kumar a déclaré à Gadgets 360 que Juspay avait informé ses partenaires marchands le jour même où il avait observé l’accès non autorisé à ses serveurs.

La société a également identifié des failles de sécurité dans certaines de ses anciennes clés d’accès utilisées par les développeurs et a rendu obligatoire l’authentification à deux facteurs (2FA) pour tous les outils auxquels ses équipes ont accès, a déclaré l’exécutif.

Cependant, Rajaharia dit que le côté sécurité de Juspay n’est toujours pas ce son. Il a déclaré à Gadgets 360 qu’il avait remarqué un problème de configuration sur le site de l’entreprise qui redirige actuellement vers des sites Web malveillants.

«Un ancien domaine inutilisé (utilisé pour un produit de test bêta) pointait vers un AWS Internet Protocol (IP) qui a été récupéré par un autre utilisateur AWS dont le serveur a ce contenu», a déclaré Kumar.

Les détails disponibles sur le site Juspay spectacle qu’il dispose d’une équipe de plus de 150 personnes qui atteint 50 millions d’utilisateurs chaque jour. Ses produits traiteraient plus de quatre millions de transactions quotidiennes et ses kits de développement de système (SDK) sont disponibles sur plus de 100 millions d’appareils. Entreprises y compris Amazone, Airtel, Flipkart, Vi (Idée Vodafone), Swiggy, et Uber font partie de ses principaux clients permettant le paiement de leurs clients.

Fondée en 2012, Juspay détient le niveau de conformité 1 de la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), qui est le plus haut niveau de conformité accordé par le Conseil des normes de sécurité PCI aux marchands de paiement.

Le mois dernier, Rajaharia a trouvé des données personnelles de sept millions de titulaires de cartes de crédit et de débit indiens fuite à travers le Web sombre. Données sensibles de plus de 1,3 million de clients bancaires indiens est également apparu sur le Dark Web en 2019.

Les experts soulignent souvent que les fuites de données sont de plus en plus courantes en Inde à mesure que le pays étend son infrastructure numérique, mais sans réglementation appropriée en matière de cybersécurité. L’absence de loi sur la protection de la vie privée n’impose pas non plus aux entreprises opérant dans le pays de protéger fermement les données de leurs utilisateurs.

Quel sera le lancement technologique le plus excitant de 2021? Nous en avons discuté sur Orbital, notre podcast technologique hebdomadaire auquel vous pouvez vous abonner via Podcasts Apple, Podcasts Google, ou RSS, télécharger l’épisode, ou appuyez simplement sur le bouton de lecture ci-dessous.