Le journal universitaire partage avec vous cet article sur l’usurpation de votre compte Facebook sans mot de passe.
Facebook propose d’enregistrer votre numéro de téléphone dans votre compte, mais est-ce vraiment une bonne idée ? Plusieurs experts en sécurité s’inquiètent d’une faille béante qui permet à n’importe qui de vous voler votre compte si vous êtes pas prudent. Le vrai problème survient lorsque l’on oublie de mettre à jour son numéro de téléphone. Il est alors possible à toute personne qui hérite de votre numéro de réinitialiser votre mot de passe.
L’expert en sécurité James Martindale attire l’attention sur une vulnérabilité de Facebook qui ne sera selon lui jamais corrigée. Dans un blog de post sur Medium, intitulé « j’ai semble-t-il piraté quelques contes Facebook en utilisant une vulnérabilité qu’ils ne corrigeront pas », il explique en effet comment le numéro de téléphone que vous avez enregistré dans votre compte peut servir à le voler.
Il commence par rappeler que « votre compte Facebook est un trésor qui vaut une bonne quantité d’argent » et que « les gens achètent des comptes Facebook au marché noir tout le temps, et même dans des lieux (sic) publics comme Reddit ». Or, Facebook a une manière très particulière de gérer les numéros de téléphone : ils peuvent être utilisés à la place de l’adresse email.
Et alors que Facebook vous demande de mettre un numéro de téléphone si cela n’est pas déjà le cas, le réseau social ne rappelle jamais à ses utilisateurs de mettre leurs coordonnées à jour. Du coup, vous vous exposez très facilement au piratage.
Facebook : votre vieux 06 représente un danger pour la sécurité de votre compte
En prenant un nouveau numéro de téléphone, le chercheur s’est rendu compte que celui-ci était encore lié à un compte Facebook. Il a alors tenté de se connecter au fameux compte en cliquant sur « Mot de passe oublié ? » : non seulement il a pu se connecter au compte, mais il a pu le faire sans que cette personne ne s’en rende compte, c’est à dire sans changer le mot de passe.
Bien sûr il aurait tout aussi bien pu changer ce dernier et bloquer quasi irrémédiablement son propriétaire. Il continue en soulignant que certains opérateurs permettent de changer de numéro à l’envi, et propose de les choisir dans une liste. En changeant son numéro il est parvenu à immédiatement pirater un autre compte Facebook.
Il ajoute que grâce au choix laissé par les opérateurs, il peut être possible dans une certaine mesure de cibler un compte en particulier. Et de donner quelques conseils :
- Supprimez immédiatement vos anciens numéros de téléphone et adresses mails de tous vos comptes en ligne, en particulier Facebook
- Activez les alertes de login sur Facebook
- Activez l’authentification double facteurs
- Passez sur des réseaux sociaux alternatifs comme Mastodon
Après avoir alerté Facebook, James Martindale a eu un message assez étonnant de réponse dans lequel un certain Randy de la sécurité reconnaît le problème, tout en précisant que « ce n’est pas considéré comme un bug ». Suggérant donc que cela ne sera pas corrigé.
