Alerte de piratage: les cybercriminels prennent le contrôle de comptes Twitter populaires pour exposer les utilisateurs à une arnaque Bitcoin

Que devez-vous faire si vous voulez gagner plus de 100 000 $ en quelques heures? À condition que vous ne soyez pas dérangé par des choses comme enfreindre la loi et potentiellement aller en prison si vous êtes pris, ce n'est pas si difficile du tout. Vous avez juste besoin de détourner certains comptes populaires sur Twitter et d'exécuter une arnaque au bitcoin aux proportions sans précédent.

Hier, des pirates ont attaqué certains des utilisateurs les plus influents de Twitter. Parmi les victimes figuraient des politiciens Barack Obama, Joe Biden et Mike Bloomberg, les entrepreneurs Elon Musk, Jeff Bezos et Bill Gates, les musiciens Kanye West et Wiz Khalifa, ainsi que les comptes d'entreprise d'Apple et d'Uber. Un certain nombre de comptes liés à la crypto-monnaie ont également été piratés, et ils ont tous été exploités dans ce qui est une arnaque au bitcoin résolument simple.

Tu me donnes un bitcoin et je te donne deux bitcoins

Les pirates ont utilisé les comptes compromis pour promettre à des millions de followers de l'argent en échange du traitement d'une transaction de crypto-monnaie. Les utilisateurs ont été informés que s'ils envoient des bitcoins à une adresse spécifiée dans les tweets, ils recevront le double de ce montant dans leur propre portefeuille peu de temps après. Hormis le fait que certains comptes citent la crise du COVID-19 comme la raison du cadeau alors que d'autres ont prétendu que c'était fait par pure générosité, tous les tweets étaient à peu près les mêmes.

Avec les comptes liés à la crypto-monnaie, les pirates ont adopté une stratégie légèrement différente. Au lieu de publier le cadeau dans un tweet, ils ont lié des domaines récemment enregistrés qui ont poussé le même schéma avec la même adresse bitcoin.

Ce n'était pas la première arnaque de ce type, mais il est juste de dire que cela n'avait jamais été fait à une telle échelle auparavant. Pour donner aux gens un sentiment d'urgence, la plupart des tweets ont affirmé que le cadeau ne durerait que 30 minutes, et cela semble avoir porté ses fruits.

Des utilisateurs naïfs envoient plus de 100 000 $ de crypto-monnaie aux fraudeurs

L'attaque était certes sans précédent, mais il n'y avait rien d'innovant dans l'arnaque elle-même. Les pirates n'ont même pas pris la peine d'utiliser plusieurs adresses bitcoin afin de couvrir leurs traces plus efficacement.

On pourrait penser que le manque de sophistication, couplé au fait que les gens devraient vraiment savoir maintenant que les systèmes "argent contre rien" sur Internet ne fonctionnent pas, transformerait cela en une opportunité époustouflante pour les pirates. Ce n'est pas tout à fait le cas.

Parce que les pirates ont utilisé une seule adresse bitcoin, il est assez facile de voir combien d'argent les gens ont envoyé. Selon Blockchain.info, au moment de la rédaction du présent document, les transactions entrantes vers le portefeuille bitcoin des escrocs totalisaient 12,8 BTC, soit environ 117 000 $. Certains pourraient soutenir qu'étant donné le nombre énorme de victimes potentielles, ce n'est pas tant que ça, mais compte tenu du fait que certains des tweets frauduleux ont été supprimés quelques minutes seulement après leur publication, ce n'est pas un mauvais chèque de paie.

Twitter: C'était une attaque d'ingénierie sociale contre nos employés

Twitter a agi rapidement, ce qui, compte tenu du grand nombre de comptes prestigieux impliqués, ne devrait pas vraiment être une surprise. Les tweets ont été supprimés immédiatement et pendant quelques heures, certains propriétaires de compte sont restés incapables de tweeter ou de réinitialiser leurs mots de passe pendant que l'équipe de sécurité de la plateforme de microblogging nettoyait le désordre.

Sans surprise, les gens se demandaient comment les pirates ont réussi à entrer, et beaucoup se souviennent du jour où Twitter a annoncé qu'il avait accidentellement collé les mots de passe en clair de tous ses 330 millions d'utilisateurs dans un fichier interne. À l'époque, la plate-forme de médias sociaux a demandé à tous les utilisateurs de changer leurs mots de passe, bien qu'elle ait souligné que seuls les employés avaient accès aux données de connexion. Nous n'avons vu aucune preuve de fuite à cause du bogue, mais quand des personnalités ont commencé à pousser l'arnaque Bitcoin hier, certains professionnels de la sécurité pensaient que peut-être, les mots de passe avaient peut-être trouvé leur chemin vers le monde extérieur après tout. Il s'est cependant avéré que le bogue de mai 2018 n'avait rien à voir avec cela.

L'enquête est toujours en cours, mais l'équipe d'assistance de Twitter a déjà annoncé que les pirates avaient organisé "une attaque d'ingénierie sociale coordonnée" contre certains des employés des médias sociaux. En effet, peu de temps après la publication des premiers tweets frauduleux, des captures d'écran sont apparues, suggérant que bien que les pirates n'aient pas eu accès aux mots de passe des comptes compromis, ils contrôlaient un outil d'arrière-plan qui pouvait publier au nom des victimes. Selon des sources de la carte mère, les escrocs auraient pu accéder à ces outils après avoir soudoyé un employé de Twitter.

Quoi qu'il en soit, si vous vous êtes déjà demandé quelle influence les réseaux sociaux ont sur la vie des gens, cela devrait être un assez bon exemple. Les propriétaires de comptes Twitter et Facebook de premier plan doivent savoir que chaque mot qu'ils publient peut susciter toutes sortes de réactions de leurs abonnés et fans, et ils doivent prendre cette responsabilité très au sérieux. Les utilisateurs de médias sociaux doivent apprendre à ne pas faire confiance à tout ce qu'ils voient sur Internet, même s'il semble provenir de personnes qu'ils admirent.

Twitter, en attendant, a beaucoup de recherches à faire et de nombreuses leçons à tirer.