Pirater un compte Facebook avec un simple SMS ?
Vous pensiez que les pirates devaient sortir le gros attirail pour pirater votre compte Facebook ?
Il n’en est rien, il leur suffisait d’un simple SMS !
Vous avez bien lu. Aucune interaction avec un utilisateur n’était nécessaire et tous les comptes Facebook étaient concernés !
Un chercheur en sécurité anglais appelé fin1te était littéralement capable de pirater un compte Facebook de son choix en une minute.
« Pirater un compte Facebook avec un simple SMS »Cliquez pour tweeterPartager sur FacebookPartager sur LinkedInAlors comment ça fonctionnait ?
J’en parlais dans mon article concernant la sécurité sur Facebook, il est possible d’attribuer un numéro de téléphone portable à son compte Facebook dans le but de le sécuriser.
Facebook envoie notamment les mises à jour du compte par SMS ou permet la connexion à un compte via le numéro lié à celui-ci.
Le problème de sécurité se situait d’après fin1te dans le procédé liant un numéro de téléphone mobile à un compte.
Lors de la soumission d’un numéro, le formulaire émettait deux paramètres principaux : le code de confirmation (confirmation_code) et l’id de profil (profile_id) du compte.
L’id de profil qui se trouvait donc dans le code source de la page en question ne générait aucune erreur si il était modifié.
1. On envoyait la lettre F au numéro SMS de Facebook pour l’Angleterre. Un code de confirmation de 8 chiffres et lettres était retourné.
On entrait ce dernier dans la boîte d’activation.
2. On changeait la valeur de profile_id et on y plaçait l’id de profil de la victime.
Après la soumission du formulaire, un SMS de confirmation était reçu :
Facebook acceptait ainsi le code de confirmation et le téléphone portable de l’attaquant se retrouvait lié au compte de la victime. De quoi finir sur de mauvaises conséquences pour l’utilisateur ciblé… Il ne restait qu’à réinitialiser le mot de passe par SMS.
Facebook n’utilise maintenant plus le paramètre profile_id et à offert 20 000 dollars à fin1te, ce qui est légèrement modique pour une telle faille, ne trouvez-vous pas ?
