Un plan d’action coordonné contre les voleurs de comptes d’autres utilisateurs

Depuis 2017, la Le marché en ligne OGUsers a alimenté une communauté axée sur l’achat et la vente d’accès à des poignées de jeux et de médias sociaux courtes ou flashy comme @xx ou @drogue. L’année dernière, des pirates informatiques affiliés à des OGUers auraient a lancé une attaque massive sur Twitter, en prenant temporairement des dizaines de comptes avec des pseudonymes courts ou importants, comme @Apple, @JeffBezos et @Uber. Aujourd’hui, dans le cadre des efforts permanents visant à lutter contre les rachats de comptes par des utilisateurs d’autres organisations, Instagram, Twitter, TikTok et d’autres plateformes récupèrent des pans entiers de ces comptes volés et envoient des lettres de cessation et d’abstention aux pirates connus des utilisateurs d’autres organisations.

Dans le cadre de l’action de jeudi, Instagram prend des mesures contre des centaines de comptes. Bien qu’il procède à ce type d’application depuis des années, il en parle publiquement pour la première fois afin de sensibiliser les gens à l’ampleur de la menace. Les pirates informatiques qualifiés ne ciblent pas seulement les propriétaires de comptes individuels pour obtenir des informations d’identification, mais ils ont également lancé des attaques de phishing sophistiquées et même des tentatives d’extorsion contre le service clientèle et les Les techniciens informatiques des grandes entreprises – comme dans le piratage de Twitter-pour obtenir un accès en masse à un plus grand nombre de comptes. Les utilisateurs sont notoire pour avoir utilisé ce type d’accès pour réaliser Attaques par échange de cartes SIM dans laquelle les pirates informatiques prennent le contrôle des numéros de téléphone des victimes et des comptes en ligne qui leur sont rattachés.

WIRED s’est entretenu avec deux hauts fonctionnaires de la société mère Instagram sur Facebook, mais a accepté de ne pas utiliser leurs noms ; les membres du forum OGUsers ont « employés d’entreprises technologiques « écrasés dont certains sur Facebook et Instagram, dans le but de les intimider. Les attaques par swatting sont de faux appels au 911 sur les situations d’urgence inventées à l’adresse d’une cible dans le but de faire prendre d’assaut la résidence par la police.

« Nous voulons faire comprendre aux membres des groupes de travail que nous combattons ici et à tous ceux qui envisagent de recourir à des techniques similaires que nous ne leur permettrons pas de commercialiser ce type de tromperie, de harcèlement et d’abus », a déclaré un responsable de Facebook à WIRED. « Et nous voulons sensibiliser les personnes qui pourraient essayer d’acheter ces comptes au fait que la façon dont les individus accèdent à ces comptes implique le piratage, le chantage et le swatting qui peuvent causer un réel préjudice à des personnes innocentes ».

Twitter dit avoir suspendu définitivement un certain nombre de comptes liés à l’activité des utilisateurs d’autres sites au cours des derniers jours, y compris certains avec un nombre élevé de followers et des pseudos courts ou uniques. L’entreprise a mené son enquête en tandem avec Facebook.

« Dans le cadre de notre travail continu pour trouver et arrêter les comportements inauthentiques, nous avons récemment récupéré un certain nombre de noms d’utilisateurs TikTok qui étaient utilisés pour squatter des comptes », a déclaré un porte-parole de TikTok à WIRED dans une déclaration. La société a également déclaré qu’elle coopérait avec d’autres organisations industrielles pour lutter contre ce problème.

« Le défi que je pose à ces entreprises de grande valeur, à ces sites de médias sociaux ou à ces plates-formes de cryptologie monétaire est le suivant : si vous regardez votre flux de réinitialisation de mot de passe et que vous pouvez réinitialiser le mot de passe en possédant le numéro de téléphone, vous avez un problème », explique Rachel Tobac, PDG de SocialProof Security, qui se concentre sur l’ingénierie sociale. « Vous pouvez prendre des mesures punitives contre les cybercriminels, mais vous devez également minimiser la valeur de la méthodologie d’attaque des échanges de cartes SIM ».

Authentification multifactorielle à l’aide d’applications génératrices de codes ou des jetons d’authentification physique peuvent empêcher les pirates de voler les codes à deux facteurs envoyés par SMS. Instagram a introduit l’authentification des applications tierces en 2018 et encourage tous ses utilisateurs à ajouter cette couche de protection supplémentaire. Facebook est également en train d’étendre son programme de sécurité « Facebook Protect » pour les comptes importants, qui offre un support sur l’authentification multifactorielle et une surveillance supplémentaire.

Alors que les pirates informatiques s’appuient souvent sur l’échange de cartes SIM, les chercheurs soulignent que ce n’est pas le seul type d’attaque contre lequel les entreprises doivent protéger leurs utilisateurs. Beaucoup d’acteurs sont des ingénieurs sociaux et des hameçonneurs talentueux. Certains vont au-delà du vol d’identifiants, et utilisent ces techniques pour installer des logiciels malveillants dans les services clients ou même sur les appareils des particuliers. Cela signifie que la réponse doit être encore plus complète.