250 000 numéros de carte bleue envolés
Le par Mathieu M.
La société Ernst & Young assure la sécurité des transactions sur Internet du site américain Hotels.
Un PC volé, 250 000 numéros de carte bleue avec...
Un ordinateur portable de la société Ernst & Young a en effet été volé dans une voiture. Celui-ci contenait les coordonnées et le numéro de carte bancaire de 250 000 clients du site internet Hotels.com. Une affaire très embarrassante lorsque l'on sait que la protection des données est justement le rôle d'Ernst & Young...
Pas de problème, les données étaient cryptées me direz-vous ! Eh bien absolument pas... Un simple mot de passe permet d'accéder à ces informations, qui seront donc accessibles en clair à la personne qui a volé l'ordinateur en question après quelques heures passées à trouver le mot de passe. Cette dernière pourra ensuite tranquillement effectuer quelques achats en ligne avant que les propritétaires ne fassent opposition sur leur carte. Le site Hotels.com a réagi en envoyant à ses clients la lettre suivante :
"[...] L'ordinateur [volé] contenait certaines informations à propos des transactions entre nos clients et le site Hotels.com. Ces informations peuvent comprendre votre nom, votre adresse, et quelques informations que vous nous avez communiquées à propos de votre carte de crédit au moment de la réservation. [...]".
Et ce n'est pas la première fois !
Ce n'est en effet pas la première fois que la société Ernst & Young commet une telle erreur. En février dernier déjà, un PC portable contenant des informations sur les employés de quelques grands constructeurs informatiques (Sun, IBM, Cisco...) avait été oublié au fond d'une salle de réunion, ordinateur jamais retrouvé depuis...
Il serait peut être temps que les entreprises prennent conscience de la vulnérabilité des données qu'elles sont censées protéger, et mettent en avant des moyens pour les protéger (le simple cryptage des données permettrait déjà de limiter ce problème).
Poser une question
Jusque là je l'ai crû, mais alors pourquoi la SNCF te demande d'insérer ta carte bleue pour vérif quand tu viens chercher des billets achetés sur le net si le numéro n'a pas été conservé '...
Il suffit de stocker le hash de la carte
numero ->fonction de hash ->Clé de hash
clé de hash ->tres tres tres dur de retrouver le numero
Mais c'est vrai qu'il faut faire attention sur les site qui vous proposent un achat en ligne sans passer par une "banque"(->page tres moche de la banque = le site n'a jamais votre numero de carte)
ils peuvent très bien calculer un md5 de ton numéro de cb et le conserver, et refaire cette opération lorsque tu viens retirer tes billets, le tout sans conserver le numéro de cb en mémoire...
edit:
hum grillé
"clé de hash ->tres tres tres dur de retrouver le numero"
normalement avec un hash de type SHA-1 c'est même impossible
mais au fait, pourquoi ce commercial avait besoin d'avoir les numéros de CB sur son ordinateur portable' ils s'en servent de sauvegarde au cas où leur serveur tombe en panne'
J'ai jamais dit qu'il était commercial le monsieur !