Originaire d'Europe de l'Est, un réseau de cybercriminels a été démantelé. La justice américaine indique que cinq individus - quatre Russes et un Ukrainien - ont été inculpés. Il sont accusés du vol de plus de 160 millions de numéros de carte crédit.

Entre 2005 et l'année dernière, ils sont accusés d'intrusion dans des systèmes informatiques et d'avoir revendu les numéros de cartes et les données associées sur des forums en ligne ou directement à des individus. Un tarif de 10 dollars pour des cartes américaines, 15 dollars pour des cartes canadiennes et 50 dollars pour des cartes européennes. Ces données ont notamment été utilisées pour des cartes vierges.

Carte bancaire Une quinzaine de sociétés et opérateurs ont été la cible d'attaques informatiques : Nasdaq, 7-Eleven, JCP, Hannaford, Heartland, Wet Seal, Commidea, JetBlue, Dow Jones, Euronet, Visa Jordan, Global Payment, Diners Singapore et Ingenicard.

Également, la banque belge Dexia et l'enseigne française Carrefour. Pour le cas de Carrefour, l'acte d'accusation ( PDF ) indique qu'à partir d'octobre 2007, près de 2 millions de numéros de cartes de crédit ont été dérobés.

Les cybercriminels ont identifié et exploité des vulnérabilités SQL pour infiltrer les réseaux informatiques. Ils ont ensuite placé du code malveillant agissant en tant que backdoor (ou porte dérobée) afin de maintenir un accès au réseau.

La justice américaine explique que dans certains cas, cet accès a été perdu en raison des efforts de sécurité des sociétés visées, mais les cybercriminels ont été capables de regagner un accès via des attaques dites persistantes. De telles attaques sont généralement complexes, durent dans le temps et sont difficiles à détecter.

Sur les serveurs de plusieurs sociétés, ils ont installé un malware de type sniffer afin de collecter et voler les données des réseaux informatiques. Ces données ont été stockées sur un ensemble d'ordinateurs disséminés à travers la planète.

Selon les autorités, le montant des pertes s'élève à plus de 300 millions de dollars pour seulement trois des sociétés visées. Deux des cybercrimels ont été arrêtés en juin 2012 pendant qu'ils voyageaient aux Pays-Bas. Les trois autres sont en fuite.

Pour la seule charge de complot en vue de commettre une fraude électronique, ils encourent 30 ans de prison et une amende de 1 million de dollars. La peine pourrait être bien plus lourde encore avec le cumul des charges.

Deux de ces cybercriminels avaient déjà été inculpés en 2009 dans une affaire qui avait déjà visé la société Heartland. Un autre cybercriminel avait alors été condamné à 20 ans de prison.