W 2013 r. sieć handlowa Target padła ofiarą ataku hakerskiego, który miał katastrofalne skutki. Włamywaczom udało się spenetrować system obsługujący kasy w 1800 placówkach. W ten sposób wyciekły dane 40 mln kart płatniczych amerykańskich konsumentów. Teraz na jaw wychodzą zaniedbania, które przyczyniły się do ułatwienia zadania złodziejom i mogą dla firmy oznaczać poważne kłopoty w zbliżającym się pozwie zbiorowym.
Włamanie do sieci Target zaowocowało jednym z największych wycieków danych kart płatniczych w historii plastikowego pieniądza. Dwa lata po tych zdarzeniach światło dzienne ujrzały pierwsze dokładniejsze informacje o przebiegu incydentu. Serwis krebsonsecurity.com, prowadzony przez eksperta bezpieczeństwa IT Briana Krebsa, dotarł do raportów przygotowanych przez firmę Verizon, badającą na zlecenie Target ślady hakerskiego ataku.
Jednym z podstawowych grzechów Target był brak wielowarstwowych zabezpieczeń i izolacji poszczególnych systemów – włamywacze po dostaniu się do sieci informatycznej firmy mogli bez przeszkód komunikować się z systemami POS, odpowiedzialnymi za obsługę stanowisk kasowych. To tam doszło do przechwycenia obrazów pasków magnetycznych kart płatniczych milionów Amerykanów. Skradzione dane trafiły następnie na czarny rynek i mogły posłużyć do tworzenia wiernych kopii kart debetowych i kredytowych.
Specjaliści podkreślają, że przełamanie zabezpieczeń w jakimkolwiek miejscu skutkowało wpuszczeniem hakerów do wielu systemów przedsiębiorstwa. Przykładowo „zhackowanie” wagi sklepowej w jednej placówce, pozwalało na połączenie się z kasami w innym sklepie sieci. W 2013 r. słabym punktem okazał się jednak kontrahent. Mała firma, która instalowała systemy klimatyzacji w sklepach Target padła ofiarą phishingu, który doprowadził do zainfekowania komputera jednego z pracowników. W ten sposób wykradziono dane pozwalające na dostęp do VPN (wirtualnej sieci prywatnej) handlowego potentata. Dalsze kroki przestępcom ułatwiło zapewne stosowanie domyślnych haseł w niektórych kluczowych systemach informatycznych.
Target do dziś ponosi konsekwencje incydentu z 2013 r. W marcu tego roku przedsiębiorstwo przystało na propozycję ugody w ramach pozwu zbiorowego wytoczonego przez konsumentów. Wypłacono łącznie 10 mln dolarów. W maju firma zgodziła się zapłacić 67 mln dolarów wydawcom kart płatniczych reprezentowanych przez MasterCard. W ostatnich tygodniach przez sąd federalny przyjęty został kolejny pozew zbiorowy banków-wydawców.
