Aujourd'hui, les entreprises accordent la priorité à la sécurité, compte tenu de la recrudescence des cyberattaques. Et le secteur de la vente au détail ne fait pas exception.
Parmi les violations de données les plus médiatisées dans le secteur de la distribution, on peut citer celle subie par Target en 2013, au cours de laquelle les données de 40 millions de clients ont été dérobées ; cette même attaque a également compromis 70 millions d'autres dossiers.
En 2018, les chaînes de grands magasins Saks Fifth Avenue et Lord & Taylor ont fait l'objet d'une mauvaise presse à la suite d'une violation de données qui a exposé les informations de 5 millions de cartes de paiement de clients. Les clients en ligne d'un autre détaillant populaire, Macy's, ont été victimes d'une violation de données qui a duré près de deux mois, ce qui a valu à l'enseigne de faire l'objet d'un recours collectif intenté par ses clients.
Toujours en 2018, British Airways a été victime d'une fuite de données qui a touché environ 380 000 clients utilisant son site web et son application mobile. Selon un article publié sur activereach.net, « les données des cartes de paiement des clients ont été divulguées, mais les informations compromises ne comprenaient pas les détails relatifs aux voyages ni les données de passeport ».
Dans cet article, nous aborderons quelques moyens de gérer les risques de sécurité liés à l'un des principaux facteurs de risque du secteur de la vente au détail : les terminaux de point de vente (TPV).
Si les magasins de détail ne peuvent pas fonctionner sans terminaux de point de vente (TPV), ceux-ci présentent toutefois d'importants risques pour la sécurité, car ils sont constamment connectés à Internet, ne respectent pas toujours les normes de sécurité informatique et sont utilisés par plusieurs utilisateurs pour la mise à jour des terminaux.
Voici trois moyens permettant aux commerces de détail d'assurer la sécurité de leurs terminaux de paiement et de prévenir les fuites de données concernant les informations sensibles relatives aux cartes de crédit.
1. Renforcer les politiques logicielles et de sécurité pour prévenir les attaques de logiciels malveillants visant les terminaux de paiement
Les logiciels malveillants de type POS sont spécialement conçus pour les terminaux de point de vente et servent à voler les données des cartes de paiement des clients lors des transactions dans les magasins.
Lorsqu'une vente est effectuée, les données de la carte de paiement sont généralement enregistrées dans le système du commerçant au moment où celui-ci débite la carte. Ces données sont cryptées dans le système, qui constitue le point d'extrémité. Cependant, pendant la fraction de seconde où le paiement est en cours de traitement et où les données ne sont pas encore cryptées, les pirates informatiques peuvent lancer une attaque et dérober ces données.
Cette attaque est rendue possible par l'installation d'un logiciel malveillant sur le terminal. Les entreprises du secteur de la vente au détail peuvent regorger de systèmes hérités difficiles à mettre à jour, qui constituent donc des cibles faciles pour les attaques de logiciels malveillants. Pour se prémunir contre ces logiciels malveillants, les détaillants doivent :
- Veiller à ce que leurs terminaux de point de vente et leurs serveurs soient maintenus à jour grâce à l'application régulière de correctifs
- Évitez d'utiliser des terminaux de point de vente connectés à Internet
- Veillez à ce que des mesures de sécurité de base, telles que des pare-feu et des logiciels antivirus/anti-malware (AV/AM), soient déployées sur tous les terminaux
2. Investir dans la formation des employés à la sensibilisation à la sécurité
Protégez vos données en réduisant au minimum les erreurs humaines. Il est impératif que les commerçants forment leurs informaticiens et leurs autres employés aux meilleures pratiques en matière de sécurité, telles que les contrôles d'accès, la complexité des mots de passe et la détection des appareils non autorisés sur les terminaux de point de vente. La formation doit également porter sur les procédures à suivre en cas d'activité suspecte.
3. Maintenir la conformité PCI
La norme PCI DSS (Payment Card Industry Data Security Standard) garantit la protection des données relatives aux cartes de paiement grâce à des mesures telles que :
- Limiter l'accès aux données des titulaires de carte aux seules personnes qui en ont besoin dans le cadre de leur travail
- Identification et authentification de l'accès aux composants du système
- Limiter l'accès physique aux systèmes contenant les données des titulaires de carte
- Rendre obligatoire l'authentification multifactorielle (MFA) pour tous les accès administratifs hors console
- Et bien plus encore
La conformité PCI, à elle seule, ne suffit pas nécessairement à garantir une sécurité informatique totale. Cependant, les commerçants peuvent tirer parti de cette conformité, aller au-delà des simples exigences formelles et intégrer les meilleures pratiques en matière de cybersécurité afin d'optimiser la protection tout au long du cycle de paiement.
Pour en savoir plus sur la manière de relever les défis auxquels sont confrontés les professionnels de l'informatique dans le secteur de la vente au détail, téléchargez notre livre électronique Comment relever 7 défis informatiques majeurs dans le secteur de la vente au détail.
