Un exemple de piratage via iCloud

Je vous propose ce matin le récit de Mathew Honan, un journaliste de Gizmodo qui c’est fait pirater son compte iCloud. Je ne veux pas vous faire peur mais vous montrer ce qu’un simple piratage peut avoir comme conséquence…

Un pirate a réussi à prendre le contrôle du compte Twitter de Mat, d’un compte Twitter associé à Gizmodo et d’effacer à distance le contenu des terminaux de Mat. Bien qu’effrayant ce genre d’événement est extrêmement rare.

Voici un résumé du déroulement des faits. La version complète relatée par Mathew Honan est disponible sur son blog en anglais.

Voici en gros ce qui c’est passé:

• A 16h50 quelqu’un c’est connecté sur mon compte iCloud, il a réinitialisé le mot de passe et supprimer le message de confirmation de ce changement.
  Le mot de passe était un mot de passe alphanumérique à 7 chiffres utilisé sur aucun autre compte.
• L’adresse e-mail de sécurité de mon compte Gmail est mon adresse iCloud.
• A 16h52 j’ai reçu un mail de récupération de mon compte Gmail. Deux minutes plus tard je recevais un mail me notifiant du changement de mot de passe de mon compte Google.
• A 17h00 mon iPhone a été effacé
• A 17h01 mon iPad a été effacé
• A 17h05 mon Macbook Air a été effacé
• Quelques minutes après il a pénétré mon compte Twitter. Etant donné que mon compte Twitter était lié à mon compte Gizmodo il a également eu accès à ce dernier.

Pour le détail il faut vous rendre sur son site. Mat résume la manière dont il jouait avec sa fille quand son téléphone a été redémarré après avoir été effacé, il explique également comment il c’est rendu compte que ses identifiants iCloud n’était plus valable, comment son compte Gmail a été supprimé et comment il a perdu le contenu de son iPad et de son Macbook Pro.

Tout ceci a été possible car un hacker a pris le contrôle de son compte iCloud et ceci grâce à Apple car le pirate a simplement utilisé des techniques d’Ingénierie Sociale avec le support Apple pour obtenir un nouveau mot de passe.

Mat a pu récupérer l’ensemble de ses données par la suite avec l’aide d’Apple, Google et autre. Imaginez vous bien que, en tant que journaliste chez Gizmodo, il a pu bénéficier d’aide que ni vous ni moi n’aurions osé espérer.

On parle toujours qu’il faut un mot de passe différent par service, des mots de passe fort mais on oublie parfois les processus internes aux entreprises qui permettent de récupérer votre mot de passe.

Pour ma part je vous recommande d’utiliser des mots de passe différents et d’utiliser des services comme Lastpass ou 1password qui vous évites de devoir vous souvenir de tous les identifiants.