Le fondateur et PDG de Twitter, Jack Dorsey, a été piraté vendredi soir, alors que le pirate informatique a posté des tweets d’insultes racistes et de soutien au nazisme. Les tweets ont duré environ 15 minutes avant d’être supprimés par Twitter. Alors comment le compte de Jack Dorsey a-t-il été piraté ?

Twitter a déclaré dans un tweet: « Le numéro de téléphone associé au compte a été compromis en raison d’une erreur de sécurité du fournisseur de service de téléphonie mobile, ce qui a permis au pirate de créer et d’envoyer des tweets par SMS à partir du numéro de téléphone ».

Dorsey est susceptible d’être victime de l’opération frauduleuse appelée échange de carte SIM – ou ce que l’on appelle désormais SIM swap ou SIM splitting – une pratique dans laquelle un pirate informatique achète ou persuade un opérateur de téléphonie mobile de transférer son numéro de téléphone sur son appareil.

Une fois que le pirate informatique a contrôlé le numéro de Dorsey, il a tiré parti de l’une des anciennes fonctionnalités de la plateforme, «Tweet via SMS», gérée par Cloudhopper, un service acquis par Twitter en 2010 pour améliorer les SMS.

Avec Cloudhopper, les utilisateurs de Twitter peuvent publier des tweets en envoyant des messages texte à 40404. Le système exige uniquement de relier votre numéro de téléphone à votre compte Twitter (ce que la plupart des utilisateurs font déjà pour des raisons de sécurité distinctes). Ainsi, votre numéro de téléphone est généralement suffisamment contrôlé pour publier des tweets sur votre compte.

Compte tenu de la longueur du piratage du compte, nous estimons qu’il s’agit d’un compte mineur, mais l’incident a permis de rappeler les vulnérabilités graves de la plate-forme, qui atteignaient les comptes de niveau supérieur, et la sécurité de l’authentification téléphonique. Donc, si vous utilisez Twitter, vous devez vous assurer que votre compte est aussi sécurisé que possible.

Source : Twitter