• Buzz chaud du moment
  • Buzz chaud du moment
Actualités

“Rien ne prouve que les données vendues en ligne aient été obtenues en exploitant une vulnérabilité” : Twitter affirme que la brèche sécuritaire de 209 M d’enregistrement-profil n’a eu aucun impact critique !

Le 4 Janvier 2023, une collection de plus de 200 millions de lignes d’enregistrement du réseau social était proposée à la vente sur un forum spécialisé dans la (re)vente de données ou d’extraction de données. e-Mails, noms, prénoms, pseudonyme, informations de profil (dont le nombre d’abonnés), date de création du compte… un listing assez fourni qui intégrait les profil-comptes de quelques 209 M d’utilisateurs. Finalement, dans un communiqué du 11 Janvier 2023, le réseau social revient, enfin, sur cet incident sécuritaire.

 

Proposition de vente de données, le 4 Janvier 2023
(Source : HackRead)

 

Condensé (historique) des multiples brèches qui font partie, avec cette dernière brèche (Janvier 2023), d’un rapport de transparence et d’une “enquête approfondie” :

 

  • Janvier 2022 : signalement depuis le Bug Bounty Twitter d’une faille sécuritaire sur les “systèmes de Twitter“. La vulnérabilité (issue d’un “bug” des suites d’une mise à jour dans le code, en Juin… 2021) permettait de pointer une personne ou pseudonyme à un compte Twitter, en renseignant un e-mail ou un numéro de téléphone. Les utilisateurs ont été informés de ladite vulnérabilité en Août 2022, par le réseau social ;
  • Juillet 2022 : par presse interposée, les équipes sécuritaires de Twitter ont “appris” l’existence d’une vulnérabilité soumise à la revente. Post-examen d’un échantillon de cette collection de données (par Twitter), la faille avait été confirmé avec un exploit viable avant l’application d’un patch. Utilisateurs et “autorités compétentes” ont été “rapidement” alertés ;
  • Novembre 2022 : toujours par presse interposée, les équipes sécuritaires de Twitter ont découvert une autre vulnérabilité. Post-comparaison entre les données fournies par les médias évoquant le sujet et les donnés du rapport (interne) de Twitter, il a été confirmé que ces données “étaient les mêmes” ;
  • Décembre 2022 : également, toujours par presse interposée, découverte par le réseau social d’une brèche sécuritaire de 400 M de lignes d’enregistrement (e-mails, téléphones) et qu’il y avait une corrélation avec la brèche mise en lumière en Janvier 2022.

Ce qui amène, finalement, à la mise en relief, en Janvier 2023, il y a quelques jours, d’une énième brèche sécuritaire relatives, ici, à l’ex-filtration potentielle de 200 M de lignes d’enregistrements ou de profils-compte. Voici les conclusions (synthétisées) de l’enquête ou du rapport fourni par Twitter :

 

  • 5,4 M de comptes ou profils ont été identifiés comme provenant de l’incident sécuritaire d’Août 2022 (vulnérabilité de Janvier 2022, cf. plus en haut) ;

 

Proposition de vente de données (issues d’un défaut d’API exploité en 2021), le 23 Décembre 2022,
avec échantillon de 1 000 utilisateurs (dont des comptes de personnalités),
contenant des e-mails, des pseudos, les abonnements-compte, les numéros de téléphone, notamment.
(Source : TechRadar)

 

  • Concernant la brèche sécuritaire de 400 M de profils ou de comptes-utilisateur : officiellement et pour l’heure, pas de corrélation avec la brèche de Janvier 2023 “ni avec aucun nouvel incident” ;
  • Concernant la brèche sécuritaire de plus de 200 M de profils ou de comptes-utilisateur : identiquement que pour la précédente, pas de corrélation présente ou issue d’un exploit dans les systèmes de Twitter. “Les deux ensembles de données étaient les mêmes, bien que le second ait supprimé les entrées en double“, est-il finement et brièvement ajouté, sans plus de détails, concernant cette brèche sécuritaire et celle relative à 400 M de lignes d’enregistrement.

 

 

Par ailleurs, il est confirmé que cet ex-filtration ne contenait aucun mot de passe : “rien ne prouve que les données vendues en ligne aient été obtenues en exploitant une vulnérabilité des systèmes Twitter. Les données sont probablement une collection de données déjà accessibles au public en ligne via différentes sources“, estime le réseau social qui confirme être en relation avec des autorités de protection de la donnée “de différents pays“.

Pour l’utilisateur, dans le concret et bien qu’aucun mot de passe ne semble avoir été compromis, il est vivement conseillé d’activer la double-authentification de compte depuis les paramètres Twitter et de vérifier la provenance de mails qui pourraient arriver, notamment dans le cadre d’une campagne éventuelle de phishing qui pourrait survenir, post-exploit, potentiellement, de ces données ou ces collections… A veiller !

 

 

Source : Twitter Vie Privée – 11 Janvier 2023 – Rapport sécuritaire pour la brèche de Janvier 2023 + actualisations des actions ou statut de l’enquête.

50% J'apprécieVS
50% Je n'apprécie pas



  • Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-8 :-1: :+1: :) :( 8-O

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2023 - v1.15.0