Des comptes Twitter certifiés piratés pour diffuser des "fake news"

Des hackers ont trouvé le moyen de prendre le contrôle de comptes certifiés pour diffuser de fausses informations. Des journalistes et des activistes ont été victimes de ces usurpations d'identités numériques.

Les chercheurs d’Access Now, un groupe de défense des droits des citoyens sur Internet, ont détecté un nouveau type d’attaque qui vise à diffuser de fausses informations sur les réseaux sociaux. Doubleswitch, le nom de cette opération, est une technique qui permet à des groupes de pirates de prendre le contrôle de comptes certifiés sur Twitter ou Facebook.

Access Now donne en exemple les comptes d’une journaliste et d’un défenseur des droits de l’homme au Venezuela qui ont été hackés au début 2017. Des comptes d’activistes et de journalistes à Barhein et au Myanmar ont également été la cible de cette attaque.

Le plus inquiétant est que le fonctionnement de Doubleswitch est finalement assez simple. Les hackers prennent le contrôle du compte en se servant, entre autres, de la bonne vieille méthode du phishing qui permet d'obtenir des informations confidentielles en envoyant des faux emails pour demander la mise à jour des données personnelles.

Une fois les données obtenues, les pirates changent rapidement le nom d'utilisateur, l'adresse e-mail et les mots de passe du propriétaire du compte qui ainsi ne peut plus y accéder. Et même s’il demande à changer de mot de passe, le nouveau sera envoyé à l'adresse des hackers.

Une fois qu'ils ont pris possession des comptes, les pirates n'ont plus qu'à diffuser toutes sortes de fausses informations sous l'identité de la victime.

Première défense: la double authentification

Twitter prend cette nouvelle menace très au sérieux. Le réseau social a mis en place une manière alternative de signaler un problème sur un compte, un formulaire en ligne qui est envoyé aux équipes du site qui vont essayer d’aider le titulaire.

Malgré cela, Access Now estime que cette nouvelle attaque met en lumière des lacunes dans la sécurité de la plateforme et recommande aux utilisateurs d’utiliser la double authentification pour protéger un peu plus leurs comptes. Mais il enjoint également les réseaux sociaux à mettre à jour leurs procédures de sécurité pour bloquer Doubleswitch et à être plus pro-actifs face aux menaces qui planent sur les utilisateurs de leurs services. 

Reste que si DoubleSwitch est redoutable, il a un point faible. Il repose sur le phishing. Une occasion de rappeler qu'en aucun cas, un service ne demandera par un email non sécurisé la modification de données confidentielles. Et, en cas de doute, le mieux est toujours de ne pas répondre.