¿Incumplimiento de DQ? HQ dice que no, pero ¿lo sabría? – Krebs sobre seguridad

Fuentes en la industria financiera dicen que están viendo señales de que El diario de la reina puede ser la última cadena minorista en ser víctima de ciberdelincuentes empeñados en robar datos de tarjetas de crédito y débito. Dairy Queen dice que no tiene indicios de una violación de la tarjeta en ninguna de sus miles de ubicaciones, pero la compañía también reconoce que casi todas las tiendas son franquicias y que no existe un proceso de la empresa establecido o un requisito de que los franquiciados comuniquen problemas de seguridad o violaciones de la tarjeta a Dairy. Sede de la reina.

Actualización, 28 de agosto, 12:08 p. m. ET: Un portavoz de Dairy Queen ha confirmado que la empresa se enteró recientemente del Servicio Secreto de EE. UU. sobre «actividades sospechosas» relacionadas con una cepa de malware de robo de tarjetas que se encuentra en cientos de otras intrusiones minoristas. Dairy Queen dice que todavía está investigando y trabajando con las autoridades, y aún no sabe cuántas tiendas pueden verse afectadas.

historia original:

dqComencé a escuchar informes de una posible violación de tarjeta en Dairy Queen hace al menos dos semanas, pero no pude encontrar signos que lo corroboraran, ya sea al acechar en las oscuras «tiendas de tarjetas» en línea o al hablar con fuentes en la industria bancaria. En los últimos días, sin embargo, he escuchado de varias instituciones financieras que dicen que están lidiando con un patrón de fraude en las tarjetas que se usaron recientemente en varias ubicaciones de Dairy Queen en varios estados. También hay indicios de que estas mismas tarjetas se venden en la clandestinidad del cibercrimen.

El último informe en las trincheras provino de una cooperativa de ahorro y crédito en el Medio Oeste de los Estados Unidos. La persona a cargo de la prevención del fraude en esta cooperativa de ahorro y crédito me contactó para saber si había oído hablar de una infracción en Dairy Queen, afirmando que la institución financiera había detectado fraude en tarjetas que se habían utilizado recientemente en media docena de Dairy Queen. Ubicaciones de Queen en y alrededor de su estado de origen.

Según la cooperativa de ahorro y crédito, más de 50 clientes habían sido víctimas de una tormenta de fraude con tarjetas solo en los últimos días después de usar sus tarjetas de crédito y débito en las ubicaciones de Dairy Queen, algunas tan lejanas como Florida, y el patrón de fraude sugiere que las tiendas DQ se vieron comprometidas al menos desde principios de junio de 2014.

“Nos están criticando hoy”, dijo el gerente de fraude el martes por la mañana sobre la actividad de fraude que se remonta a las tarjetas de miembros utilizadas en varias ubicaciones de Dairy Queen en las últimas tres semanas. “Estamos recibiendo todo tipo de casos de fraude de miembros que tienen copias falsificadas de sus tarjetas que se usan en tiendas de dólar y supermercados”.

Otras instituciones financieras contactadas por este reportero han visto fraudes recientes en tarjetas que se usaron en locales de Dairy Queen en Florida y varios otros estados, incluidos Alabama, Indiana, Illinois, Kentucky, Ohio, Tennessee y Texas.

El viernes 22 de agosto, KrebsOnSecurity habló con dean peters, director de comunicaciones de la cadena de comida rápida con sede en Minneapolis. Peters dijo que la compañía no había escuchado informes de fraude con tarjetas en ubicaciones individuales de DQ, pero enfatizó que casi todas las tiendas Dairy Queen eran de propiedad y operación independientes. Cuando se le preguntó si DQ tenía algún tipo de requisito de que sus franquiciados notifiquen a la empresa en caso de una brecha de seguridad o problema con sus sistemas de procesamiento de tarjetas, Peters dijo que no.

“En este momento, no existe tal política”, dijo Peters. “Les ayudaríamos si [any franchisees] se comunicó con nosotros sobre una infracción, pero hasta ahora no hemos tenido noticias de ninguno de nuestros franquiciados que hayan tenido algún tipo de infracción”.

julie conroydirector de investigación de la consultora grupo aite, dijo que las empresas nacionales como Dairy Queen deberían tener políticas de notificación de incumplimiento para los franquiciados, aunque solo sea para proteger la integridad de la marca y la imagen pública de la empresa.

“Sin duda, este es un problema de protección de marca”, dijo Conroy. “Esto se remonta al eterno desafío con todos los pequeños comerciantes. Incluso con compañías como Dairy Queen, donde la nave nodriza es enorme, cada uno de los establecimientos individuales son esencialmente tiendas familiares, y muchas de estas tiendas todavía no creen que sean un objetivo para este tipo de fraude. Por extensión, la nave nodriza se centra en arrear un montón de gatos en forma de miles de franquiciados, y no piensan que todas estas tiendas son objetivos de los ciberdelincuentes y que deberían tener algún tipo de política en toda la empresa sobre eso. De hecho, las marcas franquiciadas que tienen ese tipo de política son más la excepción que la regla”.

¿DEJA VU DE NUEVO?

La situación que aparentemente se desarrolla con Dairy Queen recuerda informes similares el mes pasado de varios bancos sobre fraudes con tarjetas rastreados hasta docenas de ubicaciones de Jimmy John’s, una cadena de tiendas de sándwiches a nivel nacional que también es propiedad casi en su totalidad de franquicias. Jimmy John’s ha dicho que está investigando los reclamos de violación, pero hasta ahora no ha confirmado informes de violaciones de tarjetas en ninguna de sus más de 1900 tiendas en todo el país.

El aviso del DHS/Servicio Secreto.

El aviso del DHS/Servicio Secreto.

Los rumores de una violación de tarjeta que involucra al menos una fracción de las 4.500 tiendas domésticas independientes de Dairy Queen surgen en medio de cada vez más advertencias vocales desde el Departamento de Seguridad Nacional de EE. UU. y el Servicio Secretoque la semana pasada dijo que más de 1,000 empresas estadounidenses habían sido atacadas por software malicioso diseñado para robar datos de tarjetas de crédito de los sistemas de caja registradora.

En esa alerta, las agencias advirtieron que los piratas informáticos han estado escaneando las redes en busca de sistemas de punto de venta con capacidades de acceso remoto (piense en iniciar sesión y pc en cualquier lugar), y luego instalar malware en dispositivos POS protegidos por contraseñas débiles y fáciles de adivinar. La alerta señaló que al menos siete vendedores/proveedores de puntos de venta confirmaron que habían afectado a varios clientes.

Alrededor de la época en que saltó la alerta del Servicio Secreto, UPS Stores, una subsidiaria del United Parcel Servicedijo que escaneó sus sistemas en busca de señales del malware descrito en la alerta y encontraron brechas de seguridad eso puede haber llevado al robo de datos de crédito y débito de clientes en 51 franquicias de UPS en los Estados Unidos (alrededor del 1 por ciento de sus 4,470 ubicaciones de centros franquiciados en los Estados Unidos). Por cierto, la forma en que UPS manejó esa divulgación de incumplimiento, claramente llamando a las tiendas individuales afectadas — debería ser un modelo para otras empresas que se enfrentan a infracciones similares.

En junio, escribí sobre una serie de violaciones de tarjetas relacionadas con lavados de autos en todo el país. Los investigadores con los que hablé al informar esa historia dijeron que todas las ubicaciones violadas tenían una cosa en común: todas dependían de sistemas de punto de venta que tenían acceso remoto con contraseñas débiles habilitadas.

Mi conjetura es que algunas ubicaciones de Dairy Queen que son propiedad y están operadas por un grupo de franquicias en particular que administra varias tiendas han experimentado una infracción, y que este incidente se limita a una fracción del total de las ubicaciones de Dairy Queen en todo el país. Desafortunadamente, sin informes mejores y más oportunos de las franquicias individuales a la sede de DQ, puede pasar un tiempo antes de que descubramos toda la historia. Mientras tanto, las franquicias de DQ que no han experimentado una violación de tarjeta pueden ver afectadas sus ventas como resultado.

TARJETA ¿ELABORACIÓN DE LA VENTISCA?

geovertederosLa semana pasada, esta publicación recibió un aviso de que una tienda de fraude bien establecida en la clandestinidad del ciberdelito había comenzado a ofrecer un nuevo lote de tarjetas robadas que el estado de EE. UU. indexó para la venta. El tipo de datos de tarjetas que vende principalmente esta tienda, conocido como «volcados», permite a los compradores crear copias falsificadas de las tarjetas para que puedan usarse para comprar productos (tarjetas de regalo y otras mercancías de fácil reventa) de los grandes minoristas, tiendas de dólar y tiendas de comestibles.

Cada vez más, los estafadores que compran datos de tarjetas robadas exigen que las tarjetas para la venta estén «geolocalizadas» o indexadas geográficamente según el estado de EE. UU. en el que se encuentra la empresa comprometida. Muchos bancos bloquearán transacciones sospechosas con tarjeta presente fuera del estado (especialmente si se trata de una actividad inusual para el titular de la tarjeta en cuestión). Como resultado, los estafadores tienden a preferir comprar tarjetas que fueron robadas a personas que viven cerca de ellos.

Esta fue una innovación popularizada por el grupo central de ciberdelincuentes responsables de vender tarjetas robadas en la filtración de datos de diciembre de 2013 en Target Corp, que involucró a unos 40 millones de tarjetas de crédito y débito comprometidas. Los mismos estafadores repetirían y refinarían esa innovación al vender decenas de miles de tarjetas robadas en febrero de 2014 de la cadena nacional de productos de belleza Sally Beauty.

Esta tienda de volcados en particular representada en la right parece estar dirigido por un grupo de fraude completamente separado de la pandilla que atacó a Target y Sally Beauty. Sin embargo, solo este mes agregó su primer nuevo lote de tarjetas que se pueden buscar por estado de EE. UU. Dos instituciones financieras diferentes contactadas por KrebsOnSecurity dijeron que las tarjetas que adquirieron de esta tienda con este nuevo nombre de lote «geo» se habían utilizado recientemente en diferentes ubicaciones de Dairy Queen.

El primer lote de tarjetas de búsqueda estatal en esta tienda de tarjetas en particular parece haber salido a la venta por primera vez el 11 de agosto e incluía un poco más de 1,000 tarjetas. El segundo lote debutó una semana después e introdujo más del doble de tarjetas robadas. Un tercer grupo de más de 5000 tarjetas de este lote salió a la venta esta mañana temprano.

Un anuncio en la tienda promocionando un nuevo lote de tarjetas geolocalizadas aparentemente robadas de las ubicaciones de Dairy Queen.

Un anuncio en la tienda promocionando un nuevo lote de tarjetas geolocalizadas aparentemente robadas de las ubicaciones de Dairy Queen.

Deja un comentario