Hacker français et fragilité de Twitter : Le monde du Blog : le magazine du blogging

Hacker français et fragilité de Twitter

Publié le 2 avril 2010 à 07:21

Dans Le Monde un article sur Hacker Croll, le hacker français interpellé par la police française, à la demande du FBI, après avoir piraté des comptes Twitter avec une facilité qui n'est pas si surprenante, vu la masse d'info mise en ligne par les internautes, y compris des professionnels qui travaillent.. chez Twitter. La naïveté de certains professionnels du Web me sidère. Extraits.

Le plus inquiétant est la façon dont il s'y est pris. Hacker Croll n'est pas un programmeur surdoué capable d'inventer des logiciels d'attaque ultrasophistiqués. Il a plutôt agi comme un enquêteur traditionnel, opiniâtre et astucieux. Tout d'abord, il a repéré que plusieurs techniciens chargés d'administrer Twitter possédaient par ailleurs des sites personnels. En consultant les registres officiels d'Internet, il obtient leurs adresses e-mails privées, puis se connecte sur le compte Yahoo!Mail de l'un d'entre eux. Se faisant passer pour lui, il déclare avoir perdu son mot de passe. Or pour en choisir un nouveau, il suffit de répondre à une "question secrète" (du type "Dans quelle ville êtes-vous né ?"). En lisant attentivement le blog de sa victime, Hacker Croll y trouve une masse d'informations : âge, code postal, ville de naissance, loisirs, etc.

Par déduction, il parvient à répondre à la question secrète, change le mot de passe et s'empare du compte. Il lance alors une recherche dans les archives et récolte des mots de passe plus stratégiques, permettant de prendre les commandes des serveurs Twitter. De proche en proche, il s'introduit dans d'autres comptes, y compris celui d'Evan Williams, directeur général de l'entreprise, et de son épouse... Il parvient même à prendre le contrôle du nom de domaine "twitter.com" : s'il l'avait voulu, il aurait pu détourner le trafic Twitter vers un autre site Web.