130 comptes Twitter ont été ciblés par des pirates dans la grande arnaque Bitcoin

Hier était probablement l’un des jours les plus occupés pour l’équipe de sécurité de Twitter, car un pirate a réussi à mettre la main sur des comptes de haut niveau et a tweeté à propos d’une arnaque Bitcoin.

La stratégie utilisée pour ce hack est ce qu’on appelle l’ingénierie sociale: les attaquants ont réussi à convaincre quelqu’un de l’entreprise de leur donner accès aux outils d’administration de Twitter.

[Read: Everything we know about how Twitter’s biggest hack went down]

Dans une nouvelle révélation, le réseau social a déclaré que les pirates avaient ciblé environ 130 comptes et en avaient pris le contrôle. Twitter enquête toujours sur l’incident et a temporairement désactivé la fonction «télécharger mes données» pour tous les utilisateurs.

D’après ce que nous savons actuellement, nous pensons qu’environ 130 comptes ont été ciblés par les attaquants d’une manière ou d’une autre dans le cadre de l’incident. Pour un petit sous-ensemble de ces comptes, les attaquants ont pu prendre le contrôle des comptes, puis envoyer des Tweets à partir de ces comptes.

– Assistance Twitter (@TwitterSupport) 17 juillet 2020

La société travaille également pour voir si les données non publiques – telles que les DM et les mots de passe – des comptes affectés ont également été compromises.

En plus de cela, un rapport de Brian Krebs de Krebsonsecurity jette plus de lumière sur la façon dont cet incident aurait pu se produire. Le rapport note que les pirates étaient probablement des experts en échange de cartes SIM – une méthode pour casser la méthode d’authentification à deux facteurs des comptes pour les prendre en charge.

Krebs a déclaré que les SIM Swappers étaient obsédés par les poignées OG – les premiers noms d’utilisateur d’un réseau de médias sociaux avec un ou deux caractères, ou simplement des noms communs (comme ‘Adam’ ou ‘Julia’). Et les jours précédant l’attaque, il a vu beaucoup d’activités sur le piratage de forums liés, prétendant vous donner le contrôle de tout nom d’utilisateur Twitter en échange d’argent.

Hier, Vice a signalé que des pirates avaient mis la main sur L’administrateur interne de Twitter des outils pouvant contrôler les comptes utilisateurs, et a réussi à modifier les identifiants de messagerie associés aux comptes de haut niveau. Le rapport de Curbs ajoute que lorsque quelqu’un modifie les ID de messagerie des comptes via cet outil, l’utilisateur ne reçoit pas de notification – ce qui signifie que le piratage de cibles comme Barack Obama et Bill Gates ne se rendait probablement pas compte lorsque leurs comptes ont été repris.

Après cette attaque, l’équipe de produits de Twitter critique vivement pourquoi elle n’a pas mis en œuvre le chiffrement de bout en bout pour les DM. Eva Galperin, directrice de la cybersécurité à l’Electronic Frontier Foundation (EFF), a déclaré que le réseau social n’aurait pas à s’inquiéter du fait que les attaquants lisent les DM privés des comptes concernés s’ils l’avaient mis en place comme indiqué précédemment par son organisation.

Twitter n’aurait pas à s’inquiéter de la possibilité que l’attaquant lise, exfiltre ou modifie des DM en ce moment s’il avait implémenté e2e pour des DM comme EFF le leur demande depuis des années.

– Eva (@evacide) 16 juillet 2020

Le sénateur Ron Wyden a également soulevé la question à propos de cette fonction de sécurité manquante. Il a déclaré que le PDG de Twitter, Jack Dorsey, avait déclaré que la société travaillait à la mise en œuvre d’un cryptage de bout en bout pour les DM lors de leur rencontre en 2018.

Pendant ce temps, le FBI a ouvert une enquête sur l’incident et tLe comité sénatorial américain du commerce a demandé à Twitter de l’informer le 23 juillet. Twitter devra répondre à de nombreuses questions avant que cet incident ne soit oublié.