Twitter pourrait avoir exposé plus de 5 millions de comptes

Un bug de Twitter a permis d'exposer l'identité de millions de comptes secrets par le biais d'un forum de pirates, a confirmé Twitter, ajoutant qu'il a depuis corrigé la vulnérabilité. La faille permettait aux acteurs de savoir si un numéro de téléphone ou une adresse électronique était associé à un compte existant en saisissant simplement ces informations dans le flux de connexion.

"En raison de cette vulnérabilité, si une personne soumettait une adresse électronique ou un numéro de téléphone aux systèmes de Twitter, ces derniers lui indiqueraient à quel compte Twitter les adresses électroniques ou le numéro de téléphone soumis étaient associés, le cas échéant", a déclaré Twitter.

La faille de sécurité provenait d'une mise à jour du code de Twitter introduite en juin de l'année dernière. Twitter a corrigé le problème après avoir reçu un rapport en janvier dernier par le biais de son programme de primes aux bugs. La société a ajouté qu'elle n'avait trouvé "aucune preuve suggérant que quelqu'un avait tiré parti de la vulnérabilité" lorsqu'elle a pris connaissance du bogue. Cependant, le bug est arrivé trop tard car certains acteurs avaient déjà exploité la faille. Cependant, un pirate informatique a vendu une base de données contenant des numéros de téléphone et des adresses électroniques liés à 5,4 millions de comptes via un forum de pirates pour 30 000 dollars.

"Après avoir examiné un échantillon des données disponibles à la vente, nous avons confirmé qu'un mauvais acteur avait profité du problème avant qu'il ne soit traité", a confirmé Twitter.

L'entreprise n'a pas précisé combien de comptes ont été affectés, mais elle a indiqué que la brèche a potentiellement touché des utilisateurs possédant des comptes pseudonymes. La base de données en vente, contient des informations "sur divers comptes, y compris des célébrités, des entreprises et des utilisateurs aléatoires." Twitter informera les propriétaires de comptes affectés par cette vulnérabilité. Pour les utilisateurs disposant de comptes secrets, la plateforme recommande de "ne pas ajouter de numéro de téléphone ou d'adresse électronique connus du public" à leurs comptes Twitter afin de cacher leur identité. Heureusement, aucun mot de passe n'a été compromis à la suite de ce piratage. Néanmoins, le service encourage les utilisateurs à activer l'authentification à deux facteurs en utilisant des applications d'authentification ou des clés de sécurité matérielles.