Piratage massif sur Twitter: pourquoi il faut faire le ménage dans vos applications

Le ministère de l’Economie, le Borussia Dortmund, Alain Juppé et Justin Bieber ont désormais un point commun: leur compte Twitter a été piraté ce matin, vraisemblablement par des soutiens du président turc Recep Tayyip Erdoğan. Comme près de 10.000 autres comptes, ils ont publié un message hostile à l’Allemagne et aux Pays-Bas, deux pays en crise diplomatique avec la Turquie. «#Allemagne nazie #Pays-Bas nazis. Voici une petite claque ottomane. #On se voit le 16 avril. Vous voulez savoir ce que j’ai écrit ? Apprenez le turc» pouvait-on lire, en turc.

Nobody is safe, even Justin Bieber's Japanese account got hacked pic.twitter.com/urlSw4yaOy

— Arjun Kharpal (@ArjunKharpal) March 15, 2017

Twitter Counter en ligne de mire

Comme nous l’ont confirmé plusieurs administrateurs de comptes touchés, les hackers ne se sont pas directement attaqués à leurs identifiants et mots de passe. Pour diffuser leur message à grande échelle, ils ont exploité une faille au sein du service Twitter Counter. Utilisé par des professionnels comme des particuliers, il s’agit de l’un des fournisseurs de statistiques les plus utilisés par les membres du réseau social. Pour fonctionner, le service nécessite un accès au compte, avec l’autorisation de publier. L’entreprise vient de confirmer le piratage… sur son compte Twitter.

https://twitter.com/thecounter/status/841935867925139458

Le hack de ce matin nous rappelle le danger que peut représenter l’authentification à travers des services comme Facebook, Google, Twitter ou LinkedIn. L’accès à l’un de nos nombreux comptes est souvent demandé lors de la première utilisation d’un service réclamant quelques données personnelles.

Des autorisations, pour quoi faire?

N’importe quel utilisateur devrait se demander si les autorisations demandées sont cohérentes avec les impératifs de fonctionnement du service. Est-il normal qu’une application de vente de chaussures demande la permission de publier sur votre compte Facebook? Si la réponse est non, préférez une authentification plus classique basée sur la création d’un compte utilisateur indépendant.

Au fil des années, certaines applications se font oublier. En faisant un tour du côté des paramètres de Twitter ou de Facebook, on pourra se retrouver face à des dizaines (voire des centaines) d’autorisations. Parmi elles, certaines seront liées à des applications devenues désuètes et donc de moins en moins sécurisées. Un ménage de printemps ne sera pas inutile. Voici les principaux liens permettant de faire le point sur votre situation personnelle.