TECH ACTUS – Une nouvelle faille dans le site de réseau social Wanted/Unwanted (supprimer comme demandé…) d’Elon Musk a révélé les identités derrière des millions de comptes sur un forum fréquenté par des pirates. Bien que Twitter ait corrigé le bug depuis, cela n’inspire pas beaucoup de confiance…
Il y avait donc une échappatoire pour utiliser les informations saisies dans un flux de connexion pour connaître le numéro de téléphone ou l’adresse e-mail du compte. Dans un blog post, Twitter a écrit : “En raison de la vulnérabilité, si quelqu’un soumettait une adresse e-mail ou un numéro de téléphone aux systèmes de Twitter, les systèmes de Twitter indiqueraient à la personne sur quel compte Twitter les adresses e-mail ou le numéro de téléphone soumis était associé, le cas échéant. »
Ce bug est apparu via la mise à jour du code de Twitter en juin dernier et a été corrigé en janvier par le programme Bug Bounty de la société. Lorsque Twitter a entendu parler du bogue pour la première fois, il n’y avait aucune preuve que quiconque ait exploité la vulnérabilité. Cependant, ce n’est pas vrai, car le rapport de bogue est arrivé en retard, car il y avait des individus malveillants qui ont profité de la faille de sécurité. Bleeping Computer a signalé qu’un pirate informatique avait réussi à vendre une base de données contenant les numéros de téléphone et les adresses e-mail de 5,4 millions d’utilisateurs. Pour cela, il a été payé 30 000 dollars. Cela ne semble pas être une somme considérable. Peut-être que le hacker s’est sous-estimé ?
Twitter a confirmé : “Après avoir examiné un échantillon des données disponibles à la vente, nous avons confirmé qu’un mauvais acteur avait profité du problème avant qu’il ne soit résolu.” (C’était une contradiction dans les termes.) Ils n’ont pas précisé le nombre de comptes concernés, mais ceux utilisant des pseudonymes n’ont pas été épargnés. Le pirate a transmis des données sur des célébrités, des entreprises et des utilisateurs aléatoires. Toute personne concernée sera avertie par Twitter, un changement de numéro de téléphone et/ou d’adresse e-mail est donc recommandé.
Les mots de passe n’ont pas été obtenus, c’est donc toute la joie dans le vide.
Source : WCCFTech
