Twitter – 32 millions d’identifiants piratés à vendre, pas de brèche directe

0
69

Les ventes de bases de données d’utilisateurs se multiplient et se ressemblent en ce moment… Cette fois ce sont 32 millions d’identifiants et mots de passe Twitter qui sont en vente sur une place de marché de DarkNet. Explications et règles de sécurité.

Le lot en question est composé d’exactement 32 888 300 comptes utilisateurs du réseau social Twitter et est à vendre sur la place de marché illicite The Real Deal. Mais rassurez-vous, l’entreprise nie toute fuite de données de son côté et il s’agirait donc cette fois-ci de données piratées sur du long terme et collectées via des malwares et du phishing directement sur les machines des utilisateurs victimes. Il est toutefois vivement recommandé dans le doute de renforcer la sécurité de son compte en activant l’authentification forte à deux facteurs. On n’est jamais trop prudent !

Après LinkedIn, MySpaceTumblr et Vkontakte, les fuites de ce genre deviennent habituelles et répétitives, mais elles sont toujours très dangereuses étant donné que les couple adresse mail / mot de passe peuvent être utilisés sur d’autres sites plus critiques… Et les comptes ont été testé par échantillons de 15 et s’avèrent bien valides.

Twitter a rapidement réagi en formulant ses doutes :

« Nous sommes convaincus que ces noms d’utilisateurs et identifiants n’ont pas été obtenus via une brèche dans Twitter – nos systèmes n’ont pas été percés. En fait, nous avons travaillé à rendre les comptes plus sécurisés en comparant nos données à ce qui a été partagé dans les autres récentes fuites de données ».

LeakedSource, spécialisé dans ces fuites de données, a déjà récupéré les informations pour les analyser et semble donner raison à Twitter, estimant que ces données sont probablement anciennes et ont été récupérées via des malwares ayant infecté des navigateurs comme Chrome et Firefox ou encore via des campagnes de phishing. De plus, aucun hachage ni chiffrement ne protègent les mots de passe. C’est donc une preuve supplémentaire que les identifiants ont été volés auprès des utilisateurs et stockés en clair. Twitter a d’ailleurs indiqué que tous les mots de passe étaient chiffrés avec bcrypt, actuellement considéré comme robuste par les experts.

Troy Hunt, à qui l’on doit le site « Have I Been Pwnd ? », doute également que Twitter ait été attaqué.

« Il pourrait tout à fait s’agir de vieilles fuites si elles ressemblent à celles que nous avons déjà observées et qui n’avaient pas encore vu la lumière du jour. Accessoirement, les prises de contrôle de comptes observées jusqu’à maintenant sont très probablement le résultat de la réutilisation des identifiants à travers les autres fuites de données » a-t-il indiqué à TechCrunch.

Bref, pas de raison de paniquer donc, mais mieux vaut prendre les devants et assurer la sécurité de ses comptes en ligne via deux méthodes :

  • utiliser systématiquement un mot de passe différent pas service en ligne
  • utiliser authentification forte à deux facteurs lorsque celle-ci est disponible