Les pirates peuvent voler votre compte Facebook avec juste un numéro de téléphone

hack a Facebook accountMême lorsque les utilisateurs ont choisi des mots de passe forts et pris des mesures de sécurité supplémentaires, leurs comptes Facebook ne sont pas à l’abri des pirates. Si vous êtes intéressé par pirater un facebook, continuer a lire cet article. Les chercheurs ont prouvé cela en prenant le contrôle d’un compte Facebook avec seulement un numéro de téléphone et quelques compétences de piratage pour exploiter le réseau SS7, un élément central de l’infrastructure de télécommunications qui s’est avéré vulnérable à plusieurs reprises au cours de la dernière demi-décennie.

Quel est le problème avec SS7 ? Comme le réseau SS7 fait confiance aux messages envoyés sur celui-ci, quelle que soit leur origine, les pirates peuvent le tromper en détournant les appels et les SMS vers leurs propres appareils. Tout ce dont ils ont besoin est le numéro de téléphone et quelques détails de l’appareil pour lancer l’espionnage silencieux. Positive Technologies, qui a fait la démonstration du piratage de Facebook pour FORBES, a récemment montré qu’ils pouvaient également détourner des comptes WhatsApp et Telegram avec des astuces similaires.

Le piratage de Facebook pousse les exploits un peu plus loin, ne nécessitant qu’un numéro de téléphone. L’attaquant clique sur le lien « Compte oublié ? » sur la page d’accueil de Facebook.com. Lorsqu’on lui demande une adresse e-mail ou un numéro de téléphone lié au compte cible, le pirate fournit le numéro légitime. En détournant le message texte contenant un mot de passe à usage unique vers leur propre PC ou téléphone, ils peuvent se connecter au compte, comme indiqué dans la vidéo ci-dessous.

L’attaque, bien sûr, nécessite que l’utilisateur ait enregistré un numéro de téléphone auprès de Facebook et qu’il ait autorisé Facebook SMS. Néanmoins, le travail de Positive montre que tout service qui utilise sms pour vérifier les comptes d’utilisateurs a laissé ouverte une voie aux pirates pour cibler rapidement les clients.

Alors que les pirates informatiques exploitent déjà les failles et que les sociétés de surveillance vendent des services d’espionnage SS7 de 20 millions de dollars à des espions d’États-nations, les opérateurs de réseau tentent de déployer des protections pour les clients. FORBES a appris que le service de renseignement britannique GCHQ aide les fournisseurs européens à améliorer leur sécurité SS7, via CESG, la branche de sécurité de l’information de l’organisme. « Le gouvernement prend la sécurité et la résilience des réseaux mobiles extrêmement au sérieux », a déclaré un porte-parole du CESG par courrier électronique. « Nous sommes conscients du problème SS7 et nous continuerons à soutenir le travail en cours par l’industrie des télécommunications pour s’attaquer à ce problème et nous assurer que les clients restent protégés. »

Vodafone et Telefonica travaillent actuellement sur des améliorations, ont déclaré des sources à FORBES. Selon Karsten Nohl, un chercheur en sécurité qui aide des opérateurs anonymes à protéger leurs réseaux, de simples règles de pare-feu empêchant une supercherie évidente résoudraient 90% des problèmes de sécurité associés à SS7.

Les utilisateurs peuvent prendre certaines mesures pour empêcher les attaques SS7 sur leurs propres téléphones, comme indiqué dans mon article précédent sur les vulnérabilités. Alex Mathews, responsable technique EMEA de Positive Technologies, a également suggéré aux utilisateurs de ne pas publier leur numéro de téléphone sur les ressources publiques ; ils pouvaient compter uniquement sur leur courrier électronique pour récupérer Facebook et d’autres comptes de médias sociaux. L’authentification à deux facteurs qui n’utilise pas de SMS pour recevoir des codes, mais passe plutôt par une application comme le propose Facebook, aidera également à prévenir les prises de contrôle de compte.

Pour marque-pages : Permaliens.

Les commentaires sont fermés.