Mais varejistas atingidos como parte do alvo, neiman marcus heist

Os atacantes por trás da violação do cartão de crédito da Target também foram atrás de clientes de outros varejistas em todo o país, incluindo o varejista sofisticado Neiman Marcus. Talvez seja hora de voltar a usar apenas dinheiro.

Os compradores, que já estavam nervosos depois que a Target relatou uma violação do cartão de crédito durante a temporada de festas, agora enfrentam a perspectiva de que os ataques tenham sido muito mais generalizados do que se pensava inicialmente. Parece que a Target não foi o único varejista afetado nessa violação, já que Neiman Marcus e pelo menos três outros varejistas sofreram incidentes semelhantes no mesmo período, informou a Reuters. Os especialistas em segurança alertam há muito tempo que bancos, processadores de cartão de crédito e varejistas não estão tomando as medidas necessárias para proteger os dados do cartão de pagamento e as informações pessoais, deixando os clientes vulneráveis ​​a fraudes e roubo de identidade.

"O impacto da violação da Target e de outros varejistas em circunstâncias semelhantes (e ainda não totalmente divulgadas) pode ter efeitos de longo alcance na confiança e no impacto do consumidor na economia dos EUA, a menos que sejam tomadas medidas para lidar com essa vulnerabilidade imediatamente", disse Anup Ghosh, fundador e CEO da empresa de segurança Invincea.

Mais vítimas encontradas

Neiman Marcus descobriu sua violação em 1º de janeiro, depois de receber relatórios de um processador de cartão de crédito sobre possíveis cobranças não autorizadas nas contas de pessoas que haviam comprado em suas lojas, informou o escritor de segurança Brian Krebs. O ataque parece ser em menor escala, com menos de um milhão de cartões comprometidos.

Embora Krebs não tenha certeza se essa violação está relacionada ao ataque ao Target, fontes disseram à Reuters que os incidentes usavam técnicas semelhantes e poderiam estar vinculados. Como a Target, Neiman Marcus disse que apenas os compradores que usaram seus cartões na loja foram afetados, não os compradores on-line.

A Target informou inicialmente que 40 milhões de compradores que usaram seu cartão de crédito em um de seus pontos de venda durante a temporada de compras natalinas foram afetados por uma violação do cartão de crédito. Na semana passada, o CEO da Target reconheceu que a violação foi maior do que se pensava inicialmente, pois informações pessoais de pelo menos 70 milhões de clientes, incluindo nomes, endereços, números de telefone e endereços de email também foram roubadas. Pode haver alguma sobreposição de clientes entre os 40 milhões iniciais e os 70 milhões posteriores, mas a Target não conseguiu dizer quantas foram contadas duas vezes. A Target também admitiu que todos os compradores dos EUA ao longo de 2013 estavam em risco, não apenas aqueles que visitaram a loja durante as festas de fim de ano.

Perguntas, mas sem respostas

A investigação ainda está nos estágios iniciais, portanto, há mais perguntas do que respostas neste momento. Isso apresenta um novo conjunto de desafios, disseram especialistas em segurança.

No momento, a grande questão é: "Estou afetado?" e é difícil dizer. A Reuters disse que outros três varejistas estão investigando, mas não divulgaram publicamente a violação no momento. Também é possível que houvesse outras violações menores, no início de 2013, que ainda não foram divulgadas.

"Todos os varejistas devem errar ao divulgar todos os consumidores potencialmente afetados e, ao mesmo tempo, divulgar completamente o que sabem sobre a violação e como aconteceu", disse Ghosh.

Neiman Marcus disse que está notificando os clientes que tiveram transações fraudulentas postadas em suas contas, mas isso deixa muitos consumidores que fizeram compras nas lojas se perguntando e aguardando más notícias. Ele cria o que um especialista chama de "limbo de segurança de dados", pois os usuários estão cientes de uma violação, mas não podem tomar nenhuma medida até receberem a confirmação. A Target também disse que estava notificando os clientes sobre o roubo de informações pessoais se um endereço de e-mail estivesse registrado.

Esse tipo de notificação seletiva abre uma janela de oportunidade para os atacantes lançarem ataques secundários, disse Angel Grant, diretor de soluções antifraude da RSA. Os invasores podem tirar proveito da confusão para enviar e-mails ou até fazer chamadas telefônicas para enganar os usuários, revelando suas informações pessoais e detalhes do cartão de pagamento. Os usuários precisam estar atentos às tentativas de phishing de acompanhamento após essa violação.

O silêncio é perigoso

Embora seja compreensível querer manter as informações em mãos até a conclusão da investigação, isso não ajuda outros varejistas. O Target não está discutindo o que aconteceu, e Neiman Marcus está ainda mais calado sobre os métodos que os atacantes podem ter usado. No momento, a Target admitiu que seu software de ponto de venda estava comprometido e a Reuters cita fontes que dizem que os atacantes usaram um raspador de RAM, um tipo de malware que captura os dados temporários na memória do computador. Houve um aumento nos ataques usando malware de análise de memória recentemente, e a Visa até emitiu alertas com informações técnicas sobre como impedir esse tipo de ataque no ano passado.

Embora não esteja claro se a Target ou outros varejistas implementaram algum dos métodos para se defender contra esses ataques, fontes disseram à Reuters que os atacantes eram muito mais sofisticados e poderiam ignorar essas medidas. Com base no fato de que informações pessoais foram roubadas, era mais do que provável que a violação da Target fosse "um comprometimento mais amplo da rede da Target do que simplesmente máquinas PoS", disse Ghosh.

Os varejistas provavelmente estão investigando suas redes e tentando descobrir se eles também foram afetados. É aqui que o compartilhamento de informações entre varejistas seria útil.

Quanto a você e eu, talvez devêssemos ficar com dinheiro por enquanto. É mais seguro, e a única coisa com que você precisa se preocupar é com os carteiristas.