La semaine dernière, 45 comptes Twitter de personnalités publiques telles que Joe Biden, Elon Musk, Bill Gates, Barack Obama, Mike Bloomberg et d'entreprises comme Uber et Apple ont été piratés pour la diffusion d'une arnaque aux cryptomonnaies. L’attaque a conduit à 392 transactions pour un total de 12,86 bitcoins (environ 102 500 euros) au profit des arnaqueurs. Twitter a découvert que les auteurs de l'attaque ont « réussi à manipuler un petit nombre d'employés et à utiliser leurs informations d'identification ». Mais selon deux anciens employés de la société, plus de 1000 travailleurs du réseau social avaient la capacité d'aider au piratage des comptes, a rapporté l’agence de presse Reuters. « À l'heure actuelle, nous pensons que les attaquants ont ciblé certains employés de Twitter par le biais d'un plan d'ingénierie sociale », a déclaré Twitter dans un billet de blog samedi dernier. « Les attaquants ont réussi à manipuler un petit nombre d'employés et à utiliser leurs identifiants pour accéder aux systèmes internes de Twitter, y compris en passant par nos protections à deux facteurs. À ce jour, nous savons qu'ils ont accédé à des outils dont seules nos équipes de support interne disposent pour cibler 130 comptes Twitter », a ajouté le réseau social.
Cependant, Reuters a rapporté jeudi en citant deux personnes ayant travaillé pour la société que plus d'un millier d'employés et de sous-traitants de Twitter au début de cette année avaient accès à des outils internes qui pouvaient modifier les paramètres des comptes utilisateurs et donner le contrôle à d'autres. Ce qui rend difficile la défense contre le piratage qui s'est produit la semaine dernière.
Twitter a déclaré que l'entreprise continue à enquêter sur l’incident. Dans une mise à jour de son billet de blog mercredi dernier, l’entreprise a déclaré que, pour les 130 comptes qui ont été ciblés, « les attaquants ont pu consulter des informations personnelles, notamment les adresses électroniques et les numéros de téléphone, qui sont affichées à certains utilisateurs de nos outils d'assistance internes ». « Dans les cas où un compte a été repris par l'attaquant, il se peut qu'il ait pu consulter des informations supplémentaires. Notre enquête médico-légale sur ces activités est toujours en cours », lit-on dans le billet.
« Nous pensons que pour 36 des 130 comptes ciblés, les attaquants ont accédé à la boîte de réception de messages directs/privés, dont un élu aux Pays-Bas. À ce jour, nous n'avons aucune indication qu'un autre élu, ancien ou actuel, ait vu un accès non autorisé à sa boîte de réception de messages directs. Nous travaillons activement à la communication directe avec les titulaires de comptes qui ont été touchés », a déclaré Twitter.
Le FBI enquête également sur la brèche qui a permis aux pirates de tweeter à plusieurs reprises à partir de comptes vérifiés de personnes après avoir manipulé les travailleurs de Twitter pour les aider dans leur activité malveillante. Les anciens employés familiers des pratiques de sécurité de Twitter ont déclaré que trop de personnes auraient pu faire la même chose, plus de 1 000 au début de 2020, y compris certains chez des entrepreneurs comme Cognizant, un fournisseur américain de services informatiques et de conseil, a rapporté Reuters.
Twitter et Cognizant n’ont pas répondu à une demande de commentaires de Reuters. Twitter s’est contenté de dire que l'entreprise cherchait un nouveau responsable de la sécurité, et travaillait à mieux sécuriser ses systèmes en formant ses employés à résister aux ruses des acteurs externes.
« On dirait qu'il y a trop de personnes qui ont accès », a déclaré Edward Amoroso, ancien chef de la sécurité chez AT&T. Les responsabilités au sein du personnel auraient dû être réparties, avec des droits d'accès limités à ces responsabilités et l'obligation pour plus d'une personne d'effectuer les changements de compte les plus sensibles. « Pour bien faire de la cybersécurité, il ne faut pas oublier les choses ennuyeuses », a-t-il ajouté.
Les menaces provenant des insiders, en particulier du personnel de support externe moins bien payé, sont une préoccupation constante pour les entreprises qui desservent un grand nombre d'utilisateurs, ont déclaré les experts en cybersécurité. Selon eux, plus le nombre de personnes pouvant modifier les paramètres clés est important, plus la surveillance doit être forte.
Les sources de Reuters ont aussi déclaré que Twitter s'était amélioré en matière d'enregistrement des activités de ses utilisateurs suite à de précédents échecs, notamment des recherches dans les dossiers d'un employé accusé en novembre dernier d'espionnage pour le compte du gouvernement d'Arabie saoudite. Mais si la journalisation facilite les enquêtes, seuls des alarmes ou des examens constants peuvent transformer les journaux en quelque chose qui peut empêcher les infractions.
Les pseudos Twitter ultra courts parmi les premiers à être détournés
Les responsabilités du piratage des comptes Twitter ne sont pas encore exactement situées, mais des chercheurs externes comme Allison Nixon de Unit 221B affirment que l'incident semble lié à un groupe de cybercriminels qui échangeaient régulièrement des pseudos de fantaisie - en particulier des noms de compte à un ou deux caractères rares. Bien que les preuves publiques liant le piratage à ces derniers soient circonstancielles, les pseudos Twitter ultra courts ont été parmi les premiers à être détournés, a rapporté Reuters.
Selon Nixon et Nick Bax, un analyste chez StopSIMCrime, un groupe qui fait pression pour une meilleure protection contre le "SIM swapping" - une technique de détournement de numéros de téléphone souvent utilisée par ce genre de pirates -, les forums où ces pirates étaient actifs sont depuis longtemps remplis de vantards qui se vantent d'avoir accès aux insiders de Twitter. Par ailleurs, Bax a déclaré avoir vu sur des forums des références aux "plugs Twitter" ou "Twitter reps" - les termes utilisés pour décrire les employés coopératifs de Twitter - depuis aussi longtemps que 2017.
John Stewart, ancien directeur de la sécurité de Cisco Systems, a déclaré que les entreprises disposant d'un large accès doivent adopter une longue série de mesures d'atténuation et « s'assurer en fin de compte que les personnes autorisées les plus puissantes ne font que ce qu'elles sont censées faire ».
Selon Reuters, l'accès aux comptes Twitter des dirigeants nationaux a été limité à un nombre beaucoup plus restreint de personnes après qu'un employé ait brièvement désactivé le compte du président Donald Trump en novembre 2017. Cela pourrait expliquer pourquoi le compte de M. Biden a été détourné, mais pas celui du président Trump, a suggéré Reuters.
Selon John Adams, ancien ingénieur en sécurité de Twitter, le réseau social devrait étendre le nombre de comptes protégés. Entre autres choses, les comptes ayant plus de 10 000 adeptes devraient avoir besoin d'au moins deux personnes pour modifier les paramètres clés. Reuters a également rapporté que les experts en sécurité craignaient que Twitter ait trop de travail à faire et trop peu de temps avant que la campagne pour les élections américaines du 3 novembre ne s'intensifie, avec une possible inférence au niveau national et d'autres pays.
Selon Ron Gula, un investisseur en cybersécurité qui a cofondé Tenable, une société de sécurité réseau, « la question est vraiment : Twitter en fait-il assez pour empêcher la prise de contrôle des comptes de nos candidats à la présidence et de nos organes d'information face à des menaces sophistiquées qui exploitent des approches nationales ? »
Toutefois, Jack Dorsey, le directeur général de Twitter, a reconnu jeudi les erreurs du passé, lors d'un appel à discuter des bénéfices de l’entreprise : « Nous avons pris du retard, tant en ce qui concerne nos protections contre l'ingénierie sociale de nos employés que les restrictions sur nos outils internes », a-t-il déclaré aux investisseurs.
Actuellement Twitter se concentre sur la restauration de l'accès pour tous les propriétaires de compte qui peuvent encore être bloqués à la suite des efforts de correction après l’attaque, selon le billet de blog de l’entreprise. Elle procède également à sécuriser davantage ses systèmes pour éviter de futures attaques, tout en déployant une formation supplémentaire à l'échelle de l'entreprise pour se prémunir contre les tactiques d'ingénierie sociale.
Source : Reuters
Et vous ?
Qu’en pensez-vous ? Plus de 1000 employés et de sous-traitants de Twitter pouvaient modifier les paramètres des comptes utilisateurs. Qu’en pensez-vous ? Pensez-vous que les réseaux sociaux seront prêts pour empêcher une possible inférence au niveau national et d'autres pays lors des prochaines élections américaines ?Voir aussi :
Twitter : des dizaines de millions de comptes ont été la cible d'un piratage massif aux cryptomonnaies, les auteurs de l'attaque ont pu obtenir près de 13 BTC, soit plus de 100 000 euros Les hackers ont convaincu un employé de Twitter de les aider à prendre le contrôle des comptes, qui ont servi à diffuser l'arnaque aux cryptomonnaies Piratage de Twitter : les hackers ont « manipulé avec succès un petit nombre d'employés », ils ont été contactés par un certain Kirk, qui a affirmé travailler au sein de l'entreprise Environ 130 comptes ont été ciblés lors du piratage de Twitter. Les mots de passe de 45 de ces comptes ont été réinitialisés, les informations sur 8 d'entre eux ont été téléchargées 
