Les pirates informatiques prouvent à quel point il est facile de s'emparer de comptes Twitter en détournant le profil de Jack Dorsey
Quelles sont les conséquences d'un compte de réseau social compromis? Il est juste de dire que cela dépend en grande partie de qui est le propriétaire dudit compte. Pour la plupart des utilisateurs réguliers, il s’agit là d’un inconvénient qui, s’ils accordent une attention suffisante à leur sécurité en ligne, ne devrait pas causer trop de douleur. Pour les personnes qui comptent de nombreux adeptes et tirent profit de leur présence sur les médias sociaux, l'impact est beaucoup plus important.
Cependant, lorsqu'un responsable de site Web de média social voit son compte compromis, le niveau d'embarras, à la fois pour cette personne et pour la plate-forme dont ils s'occupent, est vraiment énorme. Le co-fondateur et PDG de Twitter, Jack Dorsey, ne le sait que trop bien.
Vendredi, les 4,2 millions d'abonnés de Dorsey sur Twitter ont assisté à un flux inhabituel de tweets. C'était inhabituel pour deux raisons différentes. Premièrement, bien qu’il dirige la plate-forme, Dorsey n’est pas exactement l’utilisateur de Twitter le plus actif au monde et il publie rarement plusieurs mises à jour dans un laps de temps aussi court. Plus important encore, les tweets ne convenaient pas vraiment au PDG d’une grande société de la Silicon Valley. Ils contenaient des insultes racistes et des messages complètement hors contexte. Les gens ont immédiatement soupçonné que le compte de Dorsey aurait été piraté, et le hashtag #ChucklingSquad a effacé tous les doutes.
Comme l'a souligné The Verge, Chuckling Squad est un groupe de cybercriminels cherchant à se faire un nom en piratant les comptes de nombreuses célébrités et personnalités des médias sociaux. Jack Dorsey est leur victime la plus en vue à ce jour. Les tweets indésirables ont été rapidement supprimés et Twitter a admis que son compte avait en réalité compromis son compte. Mais comment est-ce que la brigade gloussante l'a fait?
Jack Dorsey est victime d'une attaque par échange de carte SIM
Dorsey est loin d'être le premier PDG de Silicon Valley à avoir détourné son profil de médias sociaux. Il y a quelques années, des pirates informatiques ont découvert plusieurs comptes appartenant à M. Social Network, Mark Zuckerberg. Ils l'ont fait après avoir compris que le PDG de Facebook n'était pas un grand fan de l' authentification à deux facteurs et utilisait un mot de passe terriblement simple pour protéger ses comptes.
En fait, le sentiment de perdre le contrôle de votre compte sur votre propre plate-forme n’est pas nouveau non plus pour Jack Dorsey. En 2016, les cybercriminels ont exploité des applications tierces inutilisées pour envoyer quelques tweets indésirables au nom de Dorsey.
Lors de l'attaque de vendredi, cependant, les escrocs n'ont pas utilisé d'application tierce et ils n'ont pas non plus deviné le mot de passe de Dorsey. Au lieu de cela, ils ont repris le compte en utilisant une technique appelée échange de carte SIM .
Dans une attaque par échange de carte SIM, les criminels convaincent les fournisseurs de services de téléphonie mobile de délivrer une nouvelle carte SIM associée au numéro de téléphone de la victime. De cette façon, ils contrôlent ledit numéro de téléphone et peuvent emprunter l'identité de la cible.. Dans le cas de Jack Dorsey, ils ont également posté des tweets en son nom.
Ils ont pu le faire car la plate-forme de micro-blogging de Dorsey propose depuis longtemps une fonctionnalité appelée " Twitter par SMS ". Il est disponible pour les utilisateurs de nombreux pays et, comme vous pouvez l'imaginer, il permet aux propriétaires de comptes d'envoyer des textes qui apparaissent sous forme de tweets sur leur profil. À l'aide d' un ensemble de commandes , ils peuvent également retweeter et aimer les mises à jour d'autres personnes, suivre, bloquer et envoyer des messages directs à d'autres comptes. Après avoir détourné le numéro de téléphone de Jack Dorsey, les criminels ont également pu faire toutes ces choses.
Twitter dit que ce n'est pas à blâmer
Suite à l'attaque, Twitter a déclaré dans une série de tweets que tout était le résultat "d'une supervision de la sécurité par le fournisseur de téléphonie mobile". L'équipe des communications a annoncé que les systèmes de Twitter n'avaient pas été compromis et a décidé de ne pas révéler les types de mécanismes qui empêcheraient des attaques similaires à l'avenir.
Il semblerait en fait que Twitter pense que tout le blâme devrait être imputé au fournisseur de services de téléphonie mobile, ce qui est au mieux controversé. En effet, la compagnie de téléphone de Dorsey n’a pas fait assez pour protéger son numéro de téléphone, ce qui est en soi assez inquiétant si l’on considère le nombre de dommages pouvant être causés par un seul numéro détourné.
D'un autre côté, cependant, les services en ligne tels que Twitter devraient faire tout ce qui est en leur pouvoir pour limiter ces dommages autant que possible, et la réaction du site Web de micro-blogging à l'attaque ne signifie pas vraiment qu'elle prend cette responsabilité très au sérieux. L'échange de carte SIM est un truc assez ancien à présent, et cela devrait faire partie du modèle de menace de chacun. Malheureusement, les fournisseurs de télécommunications sont certainement en retard en matière de prévention, ce qui devrait plutôt inciter davantage les agents de sécurité à faire tout ce qui est en leur pouvoir pour nous protéger.
