Twitter réagit à la fuite de milliers de mots de passe

La sécurité de 55 000 comptes Twitter a été compromise après la publication de leurs identifiants. Mais plusieurs détails soulèvent des interrogations, notamment des données dupliquées en masse et des mots de passe nettement plus complexes que ceux généralement rencontrés.

Des mots de passe particuliers

Les informations de ces comptes ont été révélées lundi et repérées par le site AirDemon.net. Identifiants et mots de passe de 55 000 comptes ont été postés anonymement via cinq entrées sur Pastebin.

Certains aspects des listes présentent des particularités inhabituelles. D’une part, une partie des comptes a été dupliquée. Ainsi, sur la première page Pastebin, on trouve six fois le pseudonyme « Shannantaqlt » accompagné du même mot de passe. D’autre part, les mots de passe offrent une impressionnante similarité dans leur structure. On trouve par exemple de très nombreux comptes ayant le même mot de passe : « 315475 ». Autre exemple : un modèle identique pour une autre grande partie des comptes, à savoir huit caractères dont des chiffres, des lettres minuscules et des majuscules, tels que « t40P2KsN » ou « fz15U7EA ». Un modèle si cohérent que les mots semblent en avoir été générés aléatoirement. Notez qu’il existe des mots de passe plus classiques tels que « sinistro » ou « natanael »...

Twitter réagit

CNet, qui s’est fait l’écho également de la fuite, a recueilli la réaction de Robert Weeks, porte-parole de Twitter. La société a confirmé qu’elle « examinait la situation », ajoutant qu’elle avait « envoyé des réinitialisations de mots de passe aux comptes qui ont été affectés ». Weeks indique en outre que les utilisateurs qui craignent pour la sécurité de leur compte peuvent procéder dès à présent à un changement de mot de passe sur le site.

Mais Weeks relève surtout les incohérences dont nous parlions précédemment :

« Il est à noter que, pour l’instant, nous avons découvert que la liste des présumés comptes et mots de passe trouvés sur Pastebin est constituée de plus de 20 000 comptes dupliqués, dont un grand nombre de comptes de spam qui ont été suspendus, et un grand nombre d’identifiants qui ne semblent pas liés (le mot de passe et le nom d’utilisateur ne sont en fait pas associés) »

Des propos qui ont été confirmés cette nuit sur le compte officiel de Twitter :

Re: Allegedly exposed credentials: We're looking into the situation and have pushed out password resets to potentially affected accounts.

— Twitter Comms (@twittercomms) Mai 9, 2012

Un règlement de comptes ?

CNet s’est en outre entretenu avec le hacker Adrian Lamo. Ce dernier indique que les particularités de la liste pourraient en définir l’origine : le support technique de Twitter. Une théorie qui se fonde sur l’expérience acquise durant des enquêtes, notamment sur AOL : les vieux comptes devaient être réinitialisés pour basculer sur un nouveau modèle n’affichant ni le mot de passe ni les factures aux employés de la société. Adrian Lamo pense de fait qu’il pourrait s’agir de comptes concernés par de tels « resets ».

@elinormills The repetition of passwords across some accounts (default help desk reset?) and the string of highly robust passwords (cont'd)

— Я. Adrian Lamo (@6) Mai 9, 2012

Adrian Lamo estime en outre que les données ont probablement été concaténées : « Quoi qu’il en soit, s’il s’agissait du fruit d’une unique brèche dans une unique source d’information à travers une unique méthode, j’en serais très étonné ». Sous-entendu : le ou les pirates qui ont publié cette liste ont rassemblé les informations par plusieurs moyens, dont certains visaient la même source, ce qui expliquerait les duplications.

Enfin, Lamo pense que la publication des comptes sur Pastebin pourrait être une attaque ou une vengeance d'un spammeur à un autre. L'objectif aurait été alors de « griller » au moins une partie des sources d’un concurrent. 

Source : AirDemon

Le 9 mai 2012 à 10:20 (11 345 lectures)

Tweeter

Actu Précédente Actu Suivante