Mat Honan est un journaliste chez Wired \u00e0 qui il est arriv\u00e9 la d\u00e9sagr\u00e9able m\u00e9saventure d’\u00eatre la cible d’un hacker qui voulait prendre le contr\u00f4le de son compte Twitter. Ce hacker a pu, par un encha\u00eenement de recherches et de coups de fils, pu r\u00e9initialiser les mots de passe des comptes de sa victime suivants :
\n– Amazon
\n– Apple (Apple ID : iCloud, iTunes…)
\n– Google (Gmail)
\n– Twitter<\/p>\n
Le hacker n’a effectu\u00e9 aucun achat avec les comptes Amazon ou Apple ou Google, mais il aurait pu par exemple commander des t\u00e9l\u00e9s sur Amazon ou des applis sur les App Store… Par contre, en acc\u00e9dant au compte iCloud, il a pu effacer toutes les donn\u00e9es que le journaliste stockait en ligne ET sur son Macbook via le service \u00ab\u00a0Find My Mac\u00a0\u00bb d’Apple (qui permet de bloquer le Mac \u00e0 distance et d’y effacer toutes les donn\u00e9es). Le journaliste a perdu un an et demi de donn\u00e9es personnelles, notamment toutes ses photos qu’il n’avait pas sauvegard\u00e9 ailleurs, car il avait trop confiance dans iCloud.<\/p>\n
Son aventure et ses recherches sont toutes expliqu\u00e9es ici (en anglais)<\/a>.<\/p>\n Cet article explique de fa\u00e7on d\u00e9taill\u00e9e comment le hacker s’est introduit dans ses diff\u00e9rents comptes. Et contrairement \u00e0 ce qu’on pourrait penser, c’est vraiment \u00e0 la port\u00e9e de tous. Je n’ai pas moi-m\u00eame effectu\u00e9 les manipulations mais Mat Honan a pu les v\u00e9rifier lui-m\u00eame. Je les traduis ici pour les non-anglophones afin de vous montrer que malgr\u00e9 tout ce que vous pouvez penser, vous n’\u00eates pas \u00e0 l’abri de ce genre de m\u00e9saventure.<\/p>\n \u00c0 l’origine, le hacker veut donc avoir acc\u00e8s au compte Twitter de Mat Honan. Tout d’abord il va prendre comme hypoth\u00e8se que le journaliste a utilis\u00e9 son adresse e-mail normale pour ouvrir le compte Twitter. Il trouve l’adresse du site web du journaliste, et sur ce site web, trouve l’adresse mhonan@gmail.com. Si le hacker veut acc\u00e9der au compte Twitter, il doit avoir acc\u00e8s \u00e0 ce compte Google pour faire un changement de mot de passe du compte Twitter.<\/p>\n Comment avoir acc\u00e8s au compte Gmail ? De la m\u00eame mani\u00e8re, le hacker va chercher un moyen de changer le mot de passe de ce compte. Pour cela, il va lancer une proc\u00e9dure de r\u00e9cup\u00e9ration de mot de passe oubli\u00e9. Google propose alors d’envoyer un e-mail \u00e0 une des adresses e-mail alternatives que le journaliste avait indiqu\u00e9es \u00e0 Gmail. Une de ces adresses est m****n@me.com (Google cache volontairement certains caract\u00e8res). Il ne faut pas \u00eatre informaticien pour deviner que cette adresse est mhonan@me.com, celle d’un compte iCloud (anciennement Mobile Me) de chez Apple. Le hacker va donc devoir avoir acc\u00e8s au compte Apple Me pour changer le mot de passe du compte Google.<\/p>\n C’est l\u00e0 que tout va se jouer car changer le mot de passe d’un compte iCloud n’est pas tr\u00e8s compliqu\u00e9. Le hacker, qui a par la suite contact\u00e9 le journaliste, a indiqu\u00e9 qu’il \u00e9tait syst\u00e9matiquement possible de rentrer dans un compte Apple. Cette adresse de r\u00e9cup\u00e9ration qui devait sauver le journaliste a en fait entra\u00een\u00e9 sa perte.<\/p>\n Pour r\u00e9cup\u00e9rer un mot de passe d’un compte iCloud, Apple ne demande \u00ab\u00a0que\u00a0\u00bb l’adresse de facturation du compte ainsi les 4 derniers chiffres du num\u00e9ro de carte de cr\u00e9dit enregistr\u00e9e sur ce compte. Comment faire pour obtenir ces deux informations tr\u00e8s priv\u00e9es ?<\/p>\n Pour ce qui est de l’adresse, il faut faire jouer Google et toutes les bases de donn\u00e9es possibles. Le journaliste ayant achet\u00e9 un nom de domaine, son adresse \u00e9tait dans le Whois. Premi\u00e8re \u00e9tape termin\u00e9e.<\/p>\n Deuxi\u00e8me \u00e9tape, les 4 derniers chiffres du num\u00e9ro de carte bleue. Le hacker a pris comme hypoth\u00e8se que le journaliste avait d\u00e9j\u00e0 achet\u00e9 sur Amazon et va rajouter une carte bancaire sur le compte Amazon de Mat Honan. Il suffit pour cela d’appeler Amazon, de leur donner un nom de d\u00e9tenteur de compte, une adresse e-mail, l’adresse de facturation (qu’on a d\u00e9j\u00e0), et le num\u00e9ro de la carte bancaire que l’on veut rajouter. Le hacker a pour cette derni\u00e8re utilis\u00e9 un g\u00e9n\u00e9rateur de faux num\u00e9ro de carte bancaire.<\/p>\n Ensuite, une fois la conversation termin\u00e9e, le hacker rappelle Amazon et dit qu’il a oubli\u00e9 le mot de passe de son compte Amazon. Il donne le nom de Mat Honan, l’e-mail, l’adresse de facturation, et Amazon demande en plus un num\u00e9ro de carte bancaire associ\u00e9e au compte. Il a suffit au hacker de donner le num\u00e9ro de la carte qu’il venait d’ajouter et bingo, Amazon lui donne acc\u00e8s au compte.<\/p>\n Une fois sur le compte Amazon, le hacker liste les moyens de paiements enregistr\u00e9s : il y a en dernier la fausse carte qu’il vient de rajouter, et au-dessus, la carte bancaire du journaliste. Bien s\u00fbr, Amazon masque les num\u00e9ros de cartes bancaire, sauf… les 4 derniers chiffres.<\/p>\n Notre hacker appelle donc Apple en donnant l’adresse e-mail de l’Apple ID, le nom, l’adresse de facturation et les 4 derniers chiffres de la carte bancaire du journaliste. Apple r\u00e9initialise le mot de passe, et le hacker a acc\u00e8s au compte Apple du journaliste. Au passage, il acc\u00e8de \u00e0 distance au Mac du journaliste, y efface tout et le bloque (en rajoutant un code PIN sur le Mac), afin de bloquer toute tentative pour le journaliste de comprendre ce qui se passe.<\/p>\n Ensuite, il lance la proc\u00e9dure de changement de mot de passe de Google gr\u00e2ce au compte Apple, et fait de m\u00eame avec le compte Twitter. Sur ce dernier, il fait de la merde et Twitter bloque le compte du journaliste.<\/p>\n Que nous apprend cette m\u00e9saventure ?<\/p>\n Tout d’abord qu’il faut \u00e9viter de lier les comptes les uns aux autres. Le hacker aurait eu beaucoup plus de peine \u00e0 hacker le compte Gmail si l’adresse e-mail de restauration n’avait pas \u00e9t\u00e9 une adresse d’un autre service facilement hackable.<\/p>\n Au passage, Google propose maintenant un syst\u00e8me de \u00ab\u00a0validation en deux \u00e9tapes\u00a0\u00bb vraiment, vraiment plus strict, qui demande un code envoy\u00e9s par SMS pour toute connexion \u00e0 partir d’un ordinateur inconnu. Je vous conseille fortement de l’activer : si Mat Honan avait activ\u00e9 la validation en deux \u00e9tapes, le hacker n’aurait jamais pu p\u00e9n\u00e9trer le compte Gmail.<\/p>\n Ensuite, on apprend aussi avec stup\u00e9faction que les comptes Apple se hackent en deux coups de cuill\u00e8re \u00e0 pot. Interrog\u00e9, Apple a r\u00e9pondu que ses proc\u00e9dures de s\u00e9curit\u00e9 n’avaient pas \u00e9t\u00e9 respect\u00e9es, ce que le hacker et le journaliste d\u00e9mentent (Mat Honan a tent\u00e9 plusieurs fois la manipulation et \u00e7a a march\u00e9 \u00e0 chaque fois).<\/p>\n Enfin, que Amazon aussi a une s\u00e9curit\u00e9 de merde qu’on peut faire sauter en 5mn, ce qui est TR\u00c8S inqui\u00e9tant. C’est pas comme si la moiti\u00e9 de la plan\u00e8te y avait enregistr\u00e9 son n\u00b0 de carte bleue.<\/p>\n Je rappelle que Google, Apple et Amazon sont tous les trois des marchands et que le hacker aurait vraiment pu faire pleins d’achats pour foutre la merde.<\/p>\n Et, enfin, \u00e9videmment, les services clients des diff\u00e9rentes soci\u00e9t\u00e9s ont \u00e9t\u00e9 incapables de comprendre ce qui se passait.<\/p>\n