Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Piratage de Twitter : les hackers ont « manipulé avec succès un petit nombre d'employés »,
Ils ont été contactés par un certain Kirk, qui a affirmé travailler au sein de l'entreprise

Le , par Axel Lecomte

50PARTAGES

4  0 
Le 15 juillet, Twitter s'est rendu compte de l'existence d'une cyberattaque qui a touché 45 comptes de personnalités publiques et entreprises, ayant au total des dizaines de millions d'abonnés. L'attaque consistait à publier des messages incitant les internautes à transférer des bitcoins à des adresses spécifiques, promettant de rembourser le double du montant envoyé par les potentielles victimes. Jusqu'à présent, l'attaque a rapporté 12,86 bitcoins (plus de 100 000 euros) aux hackers, à travers 394 opérations.

L'enquête menée par le réseau social, qui est encore en cours, révèle que des employés ont été ciblés par un « programme d'ingénierie sociale ». Les auteurs de l'attaque ont « réussi à manipuler un petit nombre d'employés et à utiliser leurs informations d'identification », déplore le réseau social. D'après le New York Times, l'attaque aurait été supervisée par un certain Kirk, qui s'est présenté comme un employé de Twitter.


Le cerveau de l'opération était un employé de Twitter

Un groupe de jeunes Britanniques et Américains revendique le piratage massif visant les comptes Twitter d'Elon Musk, Jeff Bezos, Bill Gates, Apple, Uber, ainsi que 45 autres appartenant à des personnalités publiques et entreprises. D'après quatre de ces malfaiteurs, contactés par le New York Times, les membres du groupe seraient entrés en relation quelques jours avant l'attaque. Ils ont été contactés par une personne répondant au nom de Kirk, qui leur a proposé de travailler ensemble et puis de partager les sommes récoltées.

Kirk se présentait comme un employé de Twitter. Il a affirmé aux hackers qu'il pouvait avoir accès à de nombreuses options de contrôle de gestion de Twitter, permettant ainsi de changer les paramètres de sécurité pour tout utilisateur. Pour prouver ses compétences, Kirk a envoyé des captures d'écran montrant des modifications effectuées dans le système interne du réseau social.

Les hackers interrogés par le New York Times affirment ne pas connaître la véritable identité du cerveau de l'opération. Leur communication se déroulait via la messagerie Discord, où le compte de ce dernier a été créé le 7 juillet. Après l'opération, Kirk n'a plus répondu à ses collaborateurs et a disparu.

Des employés « manipulés »

Twitter a présenté ses excuses et a précisé que les pirates ont réussi à pénétrer 45 comptes, sur les 130 ciblés. De plus, le réseau social indique que l'enquête se poursuit, tout en promettant que d'autres informations sur l'attaque seront communiquées.

Dans un billet de blog, Twitter a déclaré :

« Nous sommes très conscients de nos responsabilités envers les personnes qui utilisent notre service et envers la société en général. Nous sommes gênés, déçus et surtout, nous sommes désolés. Nous savons que nous devons nous efforcer de regagner votre confiance, et nous soutiendrons tous les efforts visant à traduire les coupables en justice » ;

« À l'heure actuelle, nous pensons que les attaquants ont ciblé certains employés de Twitter par le biais d'un plan d'ingénierie sociale. Qu'est-ce que cela signifie ? Dans ce contexte, l'ingénierie sociale est la manipulation intentionnelle de personnes pour qu'elles accomplissent certaines actions et divulguent des informations confidentielles » ;

« Les attaquants ont réussi à manipuler un petit nombre d'employés et à utiliser leurs identifiants pour accéder aux systèmes internes de Twitter, y compris en passant par nos protections à deux facteurs. À ce jour, nous savons qu'ils ont accédé à des outils dont seules nos équipes de support interne disposent pour cibler 130 comptes Twitter. Pour 45 de ces comptes, les attaquants ont pu initier une réinitialisation du mot de passe, se connecter au compte et envoyer des Tweets. Nous poursuivons notre examen médico-légal de tous les comptes afin de confirmer toutes les actions qui ont pu être prises. En outre, nous pensons qu'ils ont pu tenter de vendre certains des noms d'utilisateur » ;

« Pour huit des comptes Twitter concernés, les attaquants ont pris l'initiative de télécharger les informations du compte grâce à notre outil « Your Twitter Data ». Cet outil est destiné à fournir au propriétaire d'un compte un résumé des détails et de l'activité de son compte Twitter. Nous nous adressons directement à tout propriétaire de compte dont nous savons qu'il en est ainsi. Aucun des huit comptes n'a été vérifié ».

En outre, Twitter affirme que certains comptes verrouillés depuis le début de l'enquête sont désormais restaurés, tandis que d'autres devront attendre.

Sources : Twitter, The New York Times

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Les hackers ont convaincu un employé de Twitter de les aider à prendre le contrôle des comptes, qui ont servi à diffuser l'arnaque aux cryptomonnaies
La technique très simple qui a permis de pirater le compte Twitter de Jack Dorsey, pour ensuite envoyer des tweets racistes à plus de 4 millions de personnes avant d'être sécurisé
Yann LeCun supprime son compte Twitter suite à une discussion sur la partialité de l'IA avec ses pairs, les systèmes d'IA sont biaisés s'ils sont préformés avec des données biaisées, dit-il
L'armée électronique syrienne pirate le compte Twitter du quotidien français « Le Monde », après avoir infiltré son outil de publication
Twitter informe qu'il pourrait avoir utilisé des données d'utilisateurs sans permission pour de la publicité, à cause d'une faille de sécurité

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Nancy Rey
Chroniqueuse Actualités https://www.developpez.com
Le 03/08/2020 à 9:23
Trois personnes inculpées pour le piratage massif de Twitter et parmi elles un adolescent de Floride
qui a prétendu travailler pour le département informatique de Twitter

Le 31 juillet dernier, Graham Clark, un adolescent de 17 ans de la ville de Tampa, en Floride a été mis aux arrêts. Il est accusé d'être le cerveau de la plus grande atteinte à la sécurité et à la vie privée de l'histoire de Twitter, qui a pris le contrôle des comptes du président Barack Obama, du candidat démocrate à la présidence Joe Biden, de Bill Gates, de Elon Musk, de Kanye West, de Apple et d'autres pour perpétrer une énorme escroquerie au bitcoin le 15 juillet 2020.

Graham Clark (photo de la prison du comté de Hillsborough)


Il n'était visiblement pas seul : peu après la révélation de l'arrestation de Tampa, deux autres personnes ont été officiellement inculpées par le ministère américain de la Justice : Nima Fazeli, 22 ans, à Orlando, et Mason Sheppard, 19 ans, au Royaume-Uni. Selon le ministère de la Justice, ils se font appeler respectivement "Rolex" et "Chaewon". Le FBI affirme que deux individus au total sont en détention. Un mineur non identifié en Californie a également avoué aux agents fédéraux qu'ils avaient aidé Chaewon à vendre l'accès à des comptes Twitter.

Mais selon une déclaration sous serment publiée vendredi dernier, les autorités ont des raisons de croire que c'est Clark, l'adolescent de Tampa, qui a eu accès aux outils internes de Twitter et qui a directement perpétré l'escroquerie. Plus précisément, il aurait convaincu un employé de Twitter qu'il travaillait dans le département informatique de Twitter et aurait piégé cet employé pour qu'il lui donne les références.

D'après la déclaration sous serment :

Clark a obtenu sans autorisation l'accès au portail du service clientèle de Twitter. Clark a utilisé l'ingénierie sociale pour convaincre un employé de Twitter qu'il était un collègue du département informatique et a demandé à l'employé de lui fournir des références pour accéder au portail de service client.

Clark a ensuite accédé aux comptes Twitter de personnalités éminentes, dont le vice-président Joe Biden, l'ancien président Barack Obama et des entreprises telles que Apple et Coinbase. Clark a ensuite publié sur leurs comptes Twitter une communication indiquant que si des bitcoins sont envoyés sur des adresses spécifiques, ils seront doublés et leur seront renvoyés. Clark n'a pas renvoyé les fonds et les a plutôt déplacés sur un autre compte. Dix personnalités ont vu leurs informations d'identification personnelle sous la forme d'une vérification, sans leur consentement être utilisées dans l'activité frauduleuse. Clark a reçu environ 117 000 dollars lors de la mise en place de son stratagème de fraude.

La manière dont les systèmes de Twitter étaient accessibles était une question ouverte jusqu'à présent ; Twitter a simplement dit qu'il avait été victime d'une attaque de phishing téléphonique, et des rapports précédents ont suggéré que le hacker s'était infiltré dans le canal interne de Twitter Slack ou avait réussi à corrompre un employé.

Selon les agents fédéraux, Sheppard a été découvert en partie parce qu'il a utilisé un permis de conduire personnel pour vérification auprès des bureaux de change cħiffrés de Binance et Coinbase, et il a été découvert que ses comptes avaient envoyé et reçu une partie des bitcoins escroqués. Fazeli a également utilisé un permis de conduire pour vérifier auprès de Coinbase, où des comptes contrôlés par "Rolex" auraient reçu des paiements en échange de noms d'utilisateurs Twitter volés.

Fazeli risque cinq ans de prison et une amende de 250 000 dollars pour un chef d'accusation d'intrusion informatique. Sheppard est accusé d'intrusion informatique, de conspiration de fraude informatique et de conspiration de blanchiment d'argent, la plus grave de ces infractions étant passible d'une peine de 20 ans de prison et d'une amende de 250 000 dollars aux États-Unis.

Sheppard et Fazeli semblent n'être que des intermédiaires pour cette escroquerie, un hacker avec le pseudo "Kirk#5270" serait celui qui a eu accès aux systèmes internes de Twitter à partir du 22 juillet. Il n'est pas certain que Clark soit Kirk#5270, bien qu'il semble que ce soit le cas sur la base de la nouvelle déclaration sous serment. Cependant, le FBI affirme que son enquête est en cours et qu'il cherche encore d'autres suspects.

À l'origine, "Kirk" prétendait être un employé de Twitter, selon un journal de discussion de Discord


Quoi qu'il en soit, Clark est actuellement en prison et est accusé de plus de 30 chefs d'accusation, notamment de fraude organisée, de fraude aux communications, de vol d'identité et de piratage informatique, a déclaré Andrew Warren, procureur de l'État de Hillsborough, lors d'une conférence de presse décrivant l'arrestation.

Au départ, il n'était pas clair si le jeune homme de 17 ans était le seul suspect dans cette affaire. « Je ne peux pas dire s'il travaillait seul », a déclaré Warren, le procureur de Floride. Il a été arrêté à son appartement où il vit seul, selon les autorités. Il est accusé en tant qu'adulte « Ce n'était pas un jeune de 17 ans ordinaire », a déclaré le procureur. Et la conférence de presse a clairement montré que les forces de l'ordre examinent les conséquences néfastes du piratage, au-delà des plus de 100 000 dollars de bitcoin que l'adolescent est censé avoir escroqués à des utilisateurs de Twitter sans méfiance.

« Cela aurait pu entraîner le vol d'une quantité massive d'argent aux gens, cela aurait pu déstabiliser les marchés financiers en Amérique et dans le monde entier ; parce qu'il avait accès aux comptes Twitter de puissants politiciens, il aurait pu miner la politique ainsi que la diplomatie internationale », a déclaré Warren. « Ce n'est pas un jeu... ce sont des crimes graves avec de graves conséquences, et si vous pensez que vous pouvez arnaquer les gens en ligne et vous en tirer à bon compte, vous allez avoir un réveil brutal, un réveil brutal qui se présente sous la forme d'une frappe à votre porte à 6 heures du matin de la part d'agents fédéraux », a-t-il ajouté plus tard.

L'adolescent Clark a été mis en détention sans aucun incident. Il est poursuivi en Floride afin qu'il puisse être inculpé comme un adulte, ce qui laisse entendre qu'il n'y a peut-être actuellement aucune charge fédérale contre lui.

Twitter a fourni ce tweet en guise de déclaration :


En plus d'escroquer les utilisateurs de bitcoin, les attaquants ont eu accès aux messages privés directs de 36 utilisateurs de Twitter, dont un élu, et ont peut-être téléchargé des caches de données encore plus importantes pour sept autres utilisateurs. Twitter affirme qu'aucun utilisateur ayant fait l'objet d'une vérification n'a vu ses messages privés ou ses caches de données compromis, ce qui suggère que les comptes de Biden, Obama et d'autres auraient pu être en sécurité. Le compte Twitter du président Trump a longtemps bénéficié de protections supplémentaires, ce qui pourrait expliquer pourquoi il n'a pas été piraté.

Sources : Department of jusctice, FBI, Vidéo conférence

Et vous ?

Qu’en pensez-vous?

Voir aussi :

Piratage de Twitter : les hackers ont « manipulé avec succès un petit nombre d'employés », ils ont été contactés par un certain Kirk, qui a affirmé travailler au sein de l'entreprise

La technique très simple qui a permis de pirater le compte Twitter de Jack Dorsey, pour ensuite envoyer des tweets racistes à plus de 4 millions de personnes avant d'être sécurisé

Le FBI veut renforcer son niveau de surveillance des médias sociaux en collectant plus de données, dont les identifiants et les numéros de téléphone
7  0 
Avatar de Mubelotix
Membre actif https://www.developpez.com
Le 19/07/2020 à 11:10
Moi de ce que j'ai compris et retenu de l'article du new york times c'est que Kirk n'en avait rien à faire de Twitter. Ce qui est bizarre pour un employé. Toujours est il qu'il connaissait bien deux types car il leur avait vendu des pseudos rares auparavant, et donc qu'ils se sont arrangés entre eux pour une grosse somme d'argent. Les deux zigotos sont inconscients de publier toutes ces informations sur eux. On connait énormément de choses sur eux maintenant. L'un des deux a même dit un truc du genre : "Qu'ils me retrouvent je m'en fiche. Je n'ai rien fait du tout". Autant de naïveté va lui coûter bien cher.
1  0 
Avatar de marsupial
Expert confirmé https://www.developpez.com
Le 03/08/2020 à 9:56
Graham Clark est jugé en tant qu'adulte en Floride et risque donc, au regard des 30 chefs d'inculpation, une peine de dizaines d'années de prison; la minorité n'existant pas pour les crimes liés à l'argent en Floride. Mais les principaux coupables sont bien ceux qui se sont fait escroquer de part leur crédulité. En tout cas, cela sentait bien l'attaque d'amateurs avertis : ils n'ont pas pris de précautions pour le retrait des Bitcoins.
1  0 
Avatar de strato35
Membre confirmé https://www.developpez.com
Le 20/07/2020 à 8:53
Citation Envoyé par Mubelotix Voir le message
Moi de ce que j'ai compris et retenu de l'article du new york times c'est que Kirk n'en avait rien à faire de Twitter. Ce qui est bizarre pour un employé. Toujours est il qu'il connaissait bien deux types car il leur avait vendu des pseudos rares auparavant, et donc qu'ils se sont arrangés entre eux pour une grosse somme d'argent. Les deux zigotos sont inconscients de publier toutes ces informations sur eux. On connait énormément de choses sur eux maintenant. L'un des deux a même dit un truc du genre : "Qu'ils me retrouvent je m'en fiche. Je n'ai rien fait du tout". Autant de naïveté va lui coûter bien cher.
Clairement c'est pas très fin pour des soit disant "hackeurs" d'être aussi serein, d'autant que quand bien même ils n'ont pas directement contribué à l'attaque, ils sont quand même coupable d'association de malfaiteur dans le but de commettre un crime (je ne sais pas si ça existe en droit aux US). Mais au moins cette histoire va peut-être permettre de savoir quelque chose : est-que discord va collaborer avec la justice américaine et fournir les informations/logs des comptes concernés, à partir des noms sur les captures d'écran ou le contenus des messages ?

Ya fort à parier que le Kirk en question soit passé par du vpn/tor ou autre pour se cacher le plus possible lors des échanges, mais quid de ces gamins (19 et 20 ans pour certains d’entre-eux, c'est précisé dans l'article du N-Y Time) qui vont même jusqu'à donner une localisation ?
D'autant qu'il font mention de transaction passé qui pourrais leurs être reproché juridiquement parlant.

'Fin bref, aussi irréfléchie que soit leurs actions, reste à savoir si ça rendra la justice plus clémente avec eux ou non.
0  0