Target : la facture s’alourdit de 19 M$

Le détaillant américain a accepté de verser 19 M$ aux banques ayant émis des cartes MasterCard compromises à l’occasion de l’attaque informatique dont il a été victime. Cette somme vise à compenser les pertes engendrées notamment par la réémission des cartes concernées, mais également par les usages frauduleux de celles-ci.

Cette offre est toutefois assortie d’une condition : que 90 % des comptes MasterCard concernés l’acceptent. Scott Kennedy, président de Target en charge des services financiers, explique espérer un niveau élevé d’acceptation de la part des banques émettrices : « Target entend continuer de se défendre vigoureusement face aux estimations réalisées par MasterCard au nom des émetteurs de cartes qui n’acceptent pas notre offre », a-t-il ajouté.

Fin mars dernier, Target a proposé 10 M$ aux victimes de son intrusion engagées dans une poursuite en nom collectif, soit environ 10 000 $ par plaignant. Cette offre est soutenue par les avocats des plaignants.

Les détails de 40 millions de cartes bancaires ont été compromis à l’occasion de l’intrusion dont Target a été victime entre le 27 novembre et le 15 décembre 2013. Mais les noms, adresses postales, adresses e-mail, et numéros de téléphone de jusqu’à 70 millions de clients de l’enseigne auraient également été compromis.

Jusqu’à 3 millions de détails de cartes bancaires auraient été vendus sur le marché noir et utilisés frauduleusement avant que les banques émettrices n’annulent toutes les cartes concernées.

En février dernier, Target a déclaré que cet incident lui avait coûté quelque 162 M$. Mais, pour de nombreux observateurs, la facture finale pourrait s’élever à plus de 1 Md$.

De son côté, Home Depot, un autre commerçant américain victime de pirates l’an passé, a déclaré une dépense nette avant impôts de 35 M$ pour l’attaque qui l’a visé. Mais le groupe reconnaît être encore, pour l’heure, incapable d’estimer certains coûts imputables à cette attaque.

Target avait bien investi dans des technologies de sécurité analytiques. FireEye assure d’ailleurs que ses outils, déployés par l’enseigne, avaient détecté l’intrusion. Mais ses processus internes se sont avérés inefficaces.