En fait, l'histoire fait la première page du Wall Street Journal[1] et s'appuie sur les conclusions des enquêteurs. À partir de traces laissées çà et là par les intrus, ils ont pu remonter la piste de l'attaque jusqu'à ce magasin de vêtements Marshalls de Saint-Paul, Minnesota. À l'aide d'un antenne directrice, probablement de type Yagi avec guide d'onde, ils ont pu capturer le trafic échangé entre les lecteurs de code-barre et les caisses enregistreuses, casser la clé WEP et se servir de cet accès pour d'une part sniffer des données et d'autre part remonter jusque chez TJX en utilisant les login et mots de passe capturés. Ils ont pu pu accéder au système central situé à Framingham, Massachusetts, et le compromettre.

Les attaquants ne semblent pas avoir fait preuve de beaucoup de discrétion. En plus des logs qui resteront, ils se servaient du réseau pour se laisser des notes, en clair, sur les actions qu'ils menaient de manière à ne pas dupliquer le travail. Un peu d'organisation ne fait pas de mal quand on s'adonne à des actions de cette ampleur. Si leurs identités ne sont pas toujours pas connues, ils auraient affiché des liens explicites avec des gangs roumains et la mafia russe. D'ailleurs, comme nous l'expliquait Erik Laykin, une douzaines de personnes auraient déjà été arrêtées et seraient sur le point d'être jugées pour fraude à la carte bancaire aux États-Unis. Elles auraient utilisé des fausses cartes portant des numéros volés chez TJX pour acheter des articles chez Wallmart, puis les rapporter dans un autre magasin pour se les faire rembourser. Ou comment transformer une liste de numéros achetés à un prix modique en monnaie sonnante et trébuchante.

Le point qui me parait particulièrement intéressant à relever dans cette histoire concerne un audit réalisé en septembre qui aurait mis en exergue plusieurs problèmes de sécurité :

As the stolen TJX numbers were being used in Florida, the
company was getting a stern warning about its poor security
from a routine audit. The auditor told the company last Sept.
29 that it wasn't complying with many of the requirements
imposed by Visa and MasterCard, according to a person
familiar with the report. The auditor's report cited the
outmoded WEP encryption and missing software patches and
firewalls.

Les problèmes de conformité aux exigences de Visa et MasterCard seraient liées à l'absence de chiffrement des données échangées sur le réseau. Difficile donc de nier le faible niveau de sécurité de leurs systèmes et en particulier ce problème de WEP. Pour autant, c'est un problème relativement classique dans ces champs d'application très particuliers. Pour avoir, dans une autre vie, été amené à auditer de tels systèmes[2], il est clair que leur flexibilité en terme d'ajout de fonctionnalités est relativement réduite. Alors pour ce qui est de la sécurité. Ainsi, j'ai pu voir de nombreux modèles de "douchettes" Wi-Fi dont le maximum qu'on pouvait tirer était du LEAP, au prix d'une mise à jour matérielle (?!) relativement coûteuse. À côté de ça, beaucoup de WEP, parfois à 40bits, et parfois rien du tout, la seule barrière de protection restant la difficulté de trouver du matériel conforme au tout premier standard 802.11 à saut de fréquences... Évidemment, on trouvait beaucoup de SSID Cloaking dont je vous vantais les qualités mais peu de filtrage d'adresses MAC, souvent jugé trop lourd à gérer. Arguement qui revient souvent, la faible portée des équipements dont on voit ici toute l'efficacité. Dans un cas, j'arrivais même à lire mon mail depuis les abords d'un entrepôt de la société auditée malgré toutes leurs protections. J'espère que la situation de ces gens, et du marché en général, s'est sensiblement améliorée depuis, mais mon petit doigt exprime des doutes, en particulier parce que l'amélioration suppose souvent le renouvellement complet du système : lecteurs, points d'accès, back-end. Et l'affaire TJX en est à mon avis un exemple criant...

Toujours est-il que tout ceci va donner du grain à moudre à ceux qui poursuivent déjà TJX, laissant imaginer l'ardoise qu'il vont devoir régler en dommages et intérêts, en plus d'une dépense estimée à un milliard de dollars américains sur les cinq prochaines années...


Si vous êtes un nouveau lecteur de ce blog, ou que vous y passez occasionnellement, sachez que plusieurs billets sont consacrés aux vulnérabilités de WEP :

Autant de raisons de ne plus utiliser WEP, même si celui-ci s'accroche comme une moule à son bouchot. Un autre traite quant à lui des alternatives que sont WPA et 802.11i/WPA2 :


Sinon, du côté de Vera Cruz, le coup de pied d'Arnaud et Phil dans la fourmilière avec les Routing Headers de type 0 continue à faire du bruit. C'est drôle à suivre, en particulier les discussions sur la liste IPv6 de l'IETF. Je vous laisse apprécier en connaisseur comment on gère un problème de fonctionnalité parfaitement inutile dans le standard. Manifestement, la suppression n'est pas à l'ordre de jour. Mais j'y pense, WEP non plus n'a pas été supprimé avec 802.11i...

Notes

[1] Ce lien pourrait ne pas rester disponible très longtemps, désolé...

[2] Mais des environnements différents...