HONG KONG – Une violation de la sécurité de Twitter qui a permis aux pirates de pénétrer dans les comptes des dirigeants et des magnats de la technologie est l’une des pires attaques de ces dernières années et pourrait ébranler la confiance dans une plate-forme que les politiciens et les PDG utilisent pour communiquer avec le public, ont déclaré des experts. Jeudi.
Le FBI a déclaré jeudi qu’il enquêtait sur les hacks, et a déclaré que les comptes très médiatisés « semblaient avoir été compromis afin de perpétuer la fraude par crypto-monnaie ».
La ruse découverte mercredi comprenait de faux tweets de l’ancien président Barack Obama, du leader présidentiel démocrate Joe Biden, de Mike Bloomberg et d’un certain nombre de milliardaires technologiques, dont le PDG d’Amazon Jeff Bezos, le co-fondateur de Microsoft Bill Gates et le PDG de Tesla Elon Musk. Les célébrités Kanye West et sa femme, Kim Kardashian West, ont également été piratées.
Twitter a déclaré que les pirates avaient utilisé « l’ingénierie sociale » pour cibler certains des employés de l’entreprise, puis avaient accédé aux comptes. Le terme fait référence à l’exploitation de la nature humaine via des attaques de phishing, à inciter les gens à télécharger des logiciels malveillants ou à les compromettre en offrant quelque chose en échange d’informations. Twitter n’a pas dit comment ses employés étaient compromis.
Les attaquants ont envoyé des tweets à partir des comptes des personnalités publiques, proposant d’envoyer 2 000 $ pour chaque 1 000 $ envoyé à une adresse Bitcoin anonyme.
Les experts en cybersécurité disent qu’une telle violation pourrait avoir des conséquences désastreuses puisque les attaquants tweetaient à partir de comptes vérifiés et influents à l’échelle mondiale avec des millions d’adeptes.
« Si vous recevez un tweet d’un compte vérifié, appartenant à une personne connue et donc de confiance, vous ne pouvez plus supposer que c’est vraiment de leur part », a déclaré Michael Gazeley, directeur général de la firme de cybersécurité Network Box.
Réagissant à la violation, Twitter a rapidement supprimé les tweets et verrouillé les comptes pour enquêter. Ce faisant, il a empêché les utilisateurs vérifiés d’envoyer des tweets pendant plusieurs heures.
La société a déclaré jeudi avoir pris « des mesures importantes pour limiter l’accès aux systèmes et outils internes ». Les mots de passe des utilisateurs ne semblent pas avoir été compromis, a déclaré Twitter, il n’est donc pas nécessaire pour les utilisateurs de les réinitialiser.
De nombreuses célébrités, politiciens et chefs d’entreprise utilisent souvent Twitter comme plate-forme publique pour faire des déclarations. Le président américain Donald Trump, par exemple, utilise régulièrement Twitter pour publier des articles sur des questions nationales et géopolitiques, et son compte est suivi de près par les médias, les analystes et les gouvernements du monde entier. La Maison Blanche a déclaré jeudi que son compte était sécurisé et n’était pas compromis par les hacks.
Twitter fait face à une bataille difficile pour regagner la confiance des gens, a déclaré Gazeley. Pour commencer, il doit déterminer exactement quels comptes ont été piratés et montrer que les vulnérabilités ont été corrigées, a-t-il déclaré.
« Si des employés clés de Twitter ont été trompés, c’est en fait un grave problème de cybersécurité en soi », a-t-il déclaré. « Comment une des plateformes de médias sociaux les plus utilisées au monde peut-elle avoir une sécurité aussi faible, d’un point de vue humain? »
Rachel Tobac, PDG de Socialproof Security, a déclaré que la violation semblait être largement motivée financièrement. Mais une telle attaque pourrait entraîner des conséquences plus graves.
« Pouvez-vous imaginer s’ils avaient repris le compte d’un leader mondial et tweeté une menace de violence contre le leader d’un autre pays? » a demandé Tobac, un pirate en ingénierie sociale qui se spécialise dans la formation des entreprises afin de se protéger contre de telles violations.
Tobac a déclaré que les entreprises peuvent se prémunir contre de telles attaques en renforçant l’authentification multifacteur — où les utilisateurs doivent présenter plusieurs éléments de preuve comme authentification avant d’être autorisés à se connecter à un système.
Un tel processus pourrait inclure la possession d’un jeton physique qu’un employé doit avoir avec lui, en plus d’un mot de passe, avant de pouvoir se connecter à un système d’entreprise ou à un autre système privé. D’autres méthodes incluent l’installation d’outils techniques pour surveiller les activités d’initié suspectes et la réduction du nombre de personnes ayant accès à des données sensibles, a déclaré Tobac.
Le cas de cette semaine fait suite à l’enquête fédérale de l’année dernière sur deux anciens employés de Twitter accusés d’espionnage pour le compte du gouvernement saoudien.
Plusieurs législateurs américains ont appelé Twitter pour coopérer avec les autorités, notamment le ministère de la Justice et le FBI, afin de sécuriser le site après la dernière violation.
« Je crains que cet événement ne représente pas simplement un ensemble coordonné d’incidents de piratage distincts, mais plutôt une attaque réussie contre la sécurité de Twitter », a déclaré le sénateur Josh Hawley, un républicain du Missouri.
Il a ajouté que des millions d’utilisateurs comptaient sur Twitter non seulement pour envoyer des tweets mais également pour communiquer en privé via la messagerie directe. Twitter n’a pas précisé si les pirates pouvaient accéder aux messages privés de leurs cibles de haut niveau.
Le sénateur démocrate de l’Oregon, Ron Wyden, a déclaré que le PDG de Twitter, Jack Dorsey, lui avait dit lors d’une conversation privée en 2018 que la société travaillait sur la protection des messages directs, appelés DM, avec un cryptage de bout en bout.
Mais cette promesse ne s’est jamais concrétisée, a déclaré Wyden jeudi, laissant les messages privés de tout le monde « vulnérables aux employés qui abusent de leur accès interne aux systèmes de l’entreprise et aux pirates qui obtiennent un accès non autorisé ».
« Il s’agit d’une vulnérabilité qui a duré beaucoup trop longtemps et qui n’est pas présente sur d’autres plates-formes concurrentes », a déclaré Wyden dans un communiqué envoyé par courrier électronique. « Si les pirates informatiques avaient accès aux DM des utilisateurs, cette violation pourrait avoir un impact à couper le souffle, pour les années à venir. »
Les journalistes d’AP Matt O’Brien à Providence, Rhode Island, et Eric Tucker et Kevin Freking à Washington ont contribué à ce rapport.
GIPHY App Key not set. Please check settings