La firme américaine des cartes de crédit Desjardins victime de deux vols de données

La firme américaine qui va héberger dès octobre les données de quatre millions de cartes de crédit Desjardins a été victime de deux vols de données en moins de quatre mois. 

Fiserv a d’abord été ciblée par le groupe Everest le 3 mai, puis par CL0P le 12 août, qui revendique le vol de 874 gigaoctets de données.

Les deux groupes n’ont ni le même profil d’attaquant ni les mêmes tactiques d’accès, selon un spécialiste consulté par Le Journal. Rien n’indique qu’il s’agisse du même vol.

Desjardins affirme avoir obtenu une confirmation formelle de son fournisseur : aucune donnée de la coopérative ne se trouvait sur les serveurs visés. Fiserv assure de son côté n’avoir trouvé aucune preuve que des données clients, bancaires ou personnelles aient été compromises.

La revendication de CL0P s’inscrit dans une campagne beaucoup plus large qui touche une cinquantaine d’entreprises à travers le monde, comme les géants Shell, Philips et General Electric.

Échéance en octobre

Desjardins a accordé ce contrat à Fiserv en 2023, devenant le premier client d’envergure de la firme au Canada. Le transfert des données vers ses serveurs américains devait d’abord avoir lieu en juin, mais a été reporté à octobre en raison de la difficulté à adapter le système aux particularités des comptes de cartes de crédit.

Le pirate CL0P affirme avoir mis la main sur des projets, des fichiers de conception et des logiciels internes de Fiserv, et non des données bancaires ou personnelles.

« Ce n’est pas le temps d’envoyer nos données aux États-Unis, avec le Cloud Act », tranche Stéphane Auger, spécialiste en cybersécurité chez Équipe Microfix. Même hébergées au Canada, rappelle-t-il, les données d’une entreprise américaine demeurent saisissables par Washington en vertu de cette loi.