Beagle Boys @ Facebook

Pourquoi les hackers adorent Facebook

Créé le 18-04-2012 à 16h48 - Mis à jour à 20h00 Réagir

 

Par Paul Loubière

DECRYPTAGE La société de sécurité israélo-américaine Imperva vient de publier un rapport où elle détaille la façon dont les pirates du web pillent les informations contenues dans les comptes Facebook des millions d'utilisateurs du réseau social. 

Illustration d'un hacker (MCT/MAXPPP)

Combien coûte votre identité Facebook ? Dans le milieu des pirates informatiques il existe un cours de l’identité Facebook. "Autrefois, explique Sylvain Gyl, expert en sécurité chez Imperva, c’était le numéro de carte bancaire qui était prisé. Aujourd’hui le cours est tombé à quelques centimes d’euros, à tel point qu’on les vend par milliers. En revanche, le cours du compte Facebook monte. Il se situe entre 10 et 100 euros, ca dépend de plusieurs critères." On se doute en effet que le mot de passe du compte de Barak Obama ou de Nicolas Sarkozyvaut plus cher que celui d’un parfait inconnu…

La société de sécurité israélo-américaine Imperva s’est penchée sur le phénomène et publie une étude accablante pour Facebook. Premier constat, les réseaux sociaux représentent une mine d’informations. Avec 800 millions de comptes, Facebook est devenu la référence. Les pirates y trouvent des détails intimes comme le nom de jeune fille, le nom du chien ou du chat, la marque de la voiture. Ces informations peuvent ensuite être utilisées pour obtenir les mots de passe d’autres sites avec la fonction "mot de passe oublié". Les sites demandent souvent de répondre à une question secrète comme "quel est le nom de votre animal de compagnie".

L'orientation sexuelle aisée à déceler

Le piratage de Facebook permet aussi de monter des escroqueries avec les "amis" en sollicitant des dons sous les prétextes les plus variés. "Facebook conserve un nombre important d’informations personnelles, note le rapport, comme la date de naissance, l’adresse et même le nom de jeune fille. Des chercheurs de l’université Carnegie Mellon ont réussi à calculer les numéros de sécurité sociale à partir des profils Facebook, un scénario moins courant en France qu’aux États-Unis, il s’agit néanmoins d’informations critiques."

En s’appuyant sur des informations d’amis Facebook, il est aussi possible d’obtenir des informations très personnelles (et monnayables). "Des chercheurs du MIT ont ainsi mis au point un logiciel qui permet de calculer avec une grande précision l’orientation sexuelle en se basant sur les amis que l’on a sur Facebook" poursuit l’étude.

Suivre un PDG à la trace

Sylvain Gyl a découvert que sur les sites de hackers, il n’est pas rare de voir des annonces du type : "cherche compte femme blanche avec un millier d’amis, de 18 à 27 ans, habitant Los Angeles". Les demandes sont parfois très spécifiques et peuvent toucher l’espionnage industriel. "on peut savoir grâce à Facebook qu’un PDG est en déplacement dans une ville. Il est alors possible d’en conclure qu’il a rencontré le PDG d’une entreprise qui travaille dans cette ville et qu’ils ont discuté d’une fusion. Il y a eu des cas de ce genre." Bref, en vous livrant sur Facebook, vous vous faites des amis qui ne vous veulent pas vraiment que du bien.

Quelques conseils pour se protéger

1. Faire attention en postant. Avant de poster toute mise à jour de statut, l’utilisateur doit réfléchir s’il ne va pas révéler des informations critiques susceptibles d’être intéressantes pour des pirates.

2. Le privé reste privé. La confidentialité doit être gérée de la façon la plus stricte possible. Facebook stocke des informations qui ne sont pas forcement visibles sur les profils, elles restent néanmoins perméables à certaines méthodes d’attaque mentionnées plus haut.

3. Utiliser des mots de passe différents. Trop d’utilisateurs se servent du même mot de passe pour Facebook, pour le compte e-mail et d’autres sites encore. Si le mot de passe est découvert, le pirate a probablement accès à tous les autres comptes.

4. Utiliser le chiffrement SSL. Quand il est enclenché sur Facebook, il réduit implacablement la capacité des hackers à vous "écouter" discrètement. Vérifier donc que l’url de la page commence par : https.