Le piratage de comptes Twitter, l’arbre qui cache la forêt

Le piratage de comptes Twitter dépasse le simple fait de prendre la main sur un micro blog. Des pirates se sont spécialisés dans la collecte de comptes pour lancer des attaques DDoS d’un nouveau genre.

« Votre compte a été restreint à la suite d’une activité inhabituelle » ! Voilà le type de message que Twitter peut vous afficher dans l’administration de votre espace de micro blogging. Motif ? Trop de retweets, trop de « j’aime » en quelques minutes. Vos fans sont devenus trop « amoureux » ? Il y a de forte chance qu’un pirate informatique a utilisé la méthode du DDoS Twitter. L’idée pour le malveillant, prendre la main sur des centaines, des milliers de vieux comptes Twitter ? Comment ? Simple ou presque. Du phishing ou des mots de passe digne d’un élève de CP. L’intérêt de tels comptes, ils sont vieux, mais toujours présents sur Twitter. Le pirate n’a donc pas besoin de créer des alliés malveillants qui vont réclamer une authentification plus poussée par Twitter, comme un numéro de téléphone. Un vieux compte a déjà été authentifié, par son auteur légitime. Tout bénéfice pour le pirate. Ce dernier n’a plus qu’à mettre en place un bot qui lancera son attaque à partir des comptes Twitter infiltrés. Bilan, le compte attaqué ne peut plus communiquer. Particulièrement perturbant en période de crise ou dans le cadre d’une communication institutionnelle.

Fin Août, plusieurs attaques ont été recensées

Des botnets relativement faciles à fabriquer, à manipuler et à déployer, mais ils restent difficiles à contrer pour Twitter. On repère assez facilement ces bots. De jolies jeunes femmes, dont les comptes ne font que des retweets. Mais cela concerne les « nouveaux » ennemis. Pour les anciens, beaucoup plus compliqué.  Dans son blog, Twitter indique que « les robots peuvent être un outil positif et essentiel, du soutien à la clientèle à la sécurité publique, mais nous interdisons strictement l’utilisation de bots et d’autres réseaux de manipulation afin de nuire à la fonctionnalité essentielle de notre service« . Twitter confirme avoir doublé ses équipes et ses ressources, et en créant de nouveaux outils et processus.

Pour vous protéger, exploitez un mot de passe unique et suffisamment compliqué pour ne pas être trouvé par un outil ou par du social engineering. Prudence aux courriels aux couleurs de Twitter. Et pensez à utiliser la double authentification.

« Il convient de noter que, pour répondre efficacement à ce défi et pour s’assurer que les personnes ne peuvent contourner nos sécurités, nous ne pouvons pas partager les détails de ces signaux internes [de veille] dans notre API publique. […] Nous comprenons que les recherches se compliquent et que cela signifie que les recherches effectuées par des tiers sur l’impact des bots sur Twitter sont souvent inexactes et erronées, mais nous devons protéger l’efficacité future de notre travail« . Une restriction qui freine les enquêtes lancées par des chercheurs externes à Twitter.