Twitter piraté à grande échelle : rumeurs et vérités derrière l'attaque
TechFlow SélectionTechFlow Sélection
Twitter piraté à grande échelle : rumeurs et vérités derrière l'attaque
Twitter indique que pendant l'enquête, certaines fonctionnalités de publication de tweets et de réinitialisation de mot de passe pourraient être indisponibles pour certains utilisateurs.
Dédié à des analyses Web3 approfondiesSource | CertiK
"Je te donne un rouge-packet de 100, demain je t'en rends 200, ça te va ?"
Seules les personnes faisant entièrement confiance osent envoyer des rouges-packets en espérant un retour. Les émissions juridiques diffusent souvent ce type d’escroqueries pour alerter le public. Pourtant, la clé du succès de ces arnaques réside dans deux mots : la confiance.
Vers 3 heures du matin (heure de Pékin) le 16 juillet 2020, l’équipe de recherche de sécurité de CertiK a détecté que plusieurs comptes influents sur le célèbre réseau social Twitter avaient été piratés. Tous ces comptes compromis ont publié le même message frauduleux concernant le bitcoin.
"En remerciement à tous (ou pour soutenir Bitcoin), je vous offre maintenant un programme de remise. Envoyez-moi 1 000 dollars américains à l'adresse suivante, et je vous en renverrai 2 000. L'offre est valable uniquement pendant 30 minutes !"
Capture d'écran fournie par un expert en sécurité de CertiK
L'attaque a initialement ciblé des acteurs du secteur blockchain : les PDG de Gemini Exchange, Coinbase Exchange, Binance (CZ), Tron (Sun Yuchen), ainsi que le média spécialisé Coindesk, tous victimes de piratage et ayant publié des messages frauduleux.
Toutes les images ci-dessus proviennent de captures d’écran fournies par des experts en sécurité de CertiK
L'attaque s'est ensuite propagée viruellement sur Twitter, touchant des comptes comme ceux de Bill Gates, Jeff Bezos (fondateur d'Amazon), Michael Bloomberg (fondateur de Bloomberg), le compte officiel d'Apple, Elon Musk (PDG de Tesla), le chanteur Kanye West, l'ancien président américain Barack Obama, ainsi que Joe Biden — aucun n’a été épargné.
Des pirates ont attaqué Twitter, un site social que peu imaginaient vulnérable au point que même le compte d’un ancien président américain puisse être compromis (même si beaucoup soupçonnaient déjà que celui du président actuel l’était). Tirant parti de la confiance du public envers Twitter et de la crédibilité des personnalités publiques, ils ont réussi à faire croire à la légitimité de cette campagne.
À ce jour, le compte des pirates a reçu un total de 12,86 BTC, soit environ 118 209 dollars américains ou 825 805 yuans chinois.
Rumeurs circulant actuellement sur Internet
1. Comptes d'employés Twitter piratés, donnant accès à l'interface d'administration
Des captures d’écran diffusées sur Telegram sembleraient provenir de l’interface interne de gestion de Twitter. Grâce à cet accès, les pirates auraient pu modifier les adresses e-mail associées aux comptes ciblés, redirigeant ainsi les liens de réinitialisation de mot de passe vers une adresse sous leur contrôle, leur permettant de prendre possession des comptes.
2. Exploitation d'une vulnérabilité récemment divulguée sur les serveurs Twitter pour obtenir un accès administratif
Hier, une vulnérabilité critique (CVE-2020-1350) affectant les serveurs DNS Windows a été rendue publique. Elle permet à un attaquant d'exécuter du code arbitraire à distance via une requête spécifiquement conçue. Une hypothèse a alors émergé : Twitter exploiterait un serveur MS DNS public non corrigé contre cette faille. Les pirates auraient exploité CVE-2020-1350 pour en prendre le contrôle. Or, étant donné que le serveur DNS Windows est un composant central du réseau, cette vulnérabilité peut se propager comme un ver, sans interaction ni authentification utilisateur. Ainsi, les attaquants auraient pénétré l’interface interne de gestion de Twitter, modifié les e-mails des utilisateurs et récupéré leurs comptes via les liens de réinitialisation.
Réponse officielle de Twitter
Les causes exactes de ces piratages n’ont pas encore été officiellement communiquées. Toutefois, Twitter a publié un message officiel vers 5h45 du matin (heure de Pékin) le jour même, indiquant qu’une enquête serait menée rapidement.
Twitter a ensuite annoncé que durant l’enquête, certaines fonctionnalités comme la publication de tweets ou la réinitialisation de mot de passe pourraient être temporairement indisponibles.
Mesures de sécurité et recommandations
Le piratage ponctuel d'un ou deux comptes sur un réseau social arrive parfois, mais une attaque massive de cette ampleur peut désormais figurer parmi les événements marquants de l’année 2020, déjà bien singulière. Voici quelques mesures de renforcement de la sécurité de votre compte Twitter, compilées par l’équipe de sécurité de CertiK.
1. Révoquez les applications autorisées à accéder à votre compte Twitter
Après connexion à Twitter, rendez-vous dans More → Settings and privacy → Account → Data and permissions → Apps and sessions. Vous y verrez toutes les applications autorisées à accéder à votre compte ainsi que les sessions actives. CertiK recommande de vérifier régulièrement ces applications, de supprimer celles qui ne sont plus nécessaires, et de déconnecter toute session suspecte.
2. Activez l’authentification à deux facteurs (2FA)
Connectez-vous à Twitter, puis allez dans More → Settings and privacy → Account → Security → Two-factor authentication. Vous pouvez activer la 2FA via SMS, une application d’authentification comme Google Authenticator, ou une clé matérielle (Security Key). Cette couche supplémentaire de sécurité empêche le vol de compte même si vos identifiants sont compromises.
Un programme de primes aux bogues inefficace ?
Investissement insuffisant en matière de sécurité
Twitter dispose d’un programme de primes aux bogues sur la plateforme HackerOne (https://hackerone.com/twitter). On a fait remarquer que Twitter ne récompense les vulnérabilités de type « prise de contrôle de compte » (Account takeover) qu’avec une prime maximale de 7 700 dollars. Or, lors de cette attaque, les pirates ont déjà récupéré plus de 100 000 dollars. Ce contraste interpelle.
Pour une entreprise, la sécurité semble insignifiante tant qu’aucun incident ne survient, et l’on hésite à y investir. Pourtant, une fois la brèche ouverte, les pertes peuvent être inestimables.
CertiK souhaite rappeler ici que même un géant comme Twitter peut être attaqué. Ne supposez jamais qu’un projet est totalement sécurisé. Même une probabilité d’attaque de 0,00000000000001 % finira par se réaliser selon la loi de Murphy. C’est pourquoi investir dans la sécurité est indispensable. En tant qu’expert mondial de la sécurité blockchain, CertiK vous aide justement à identifier cette infime faille de 0,00000000000001 %, et à l’éliminer. Si votre projet en a besoin, contactez-nous par e-mail à [email protected].
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
