La planète Twitter a tremblé. Au cours de la nuit de mercredi à jeudi, le réseau social américain a dû faire face à un piratage massif de comptes utilisateurs avec comme but d'extorquer des fonds. Cette usurpation à grande échelle a débuté aux alentours de 21h (heure française) avec d'abord une multiplication de tweets émanant de sociétés et de personnalités spécialisées dans le bitcoin (Kucoin, Bitfinex, Coindesk, Coinbase, TRON Foundation, Charlie Lee, Justin Sun...) relayant avoir conclu un partenariat avec CryptoForHealth dans le cadre d'une opération de reversement de bitcoins : « Nous sommes partenaires de CryptoForHealth et nous rendons 5000 BTC à la communauté. Plus d'informations ici : cryptoforhealth.com ». Le site en question était en fait contrôlé par des cyberpirates dans le seul but de réaliser une arnaque de type giveway bitcoin, promettant aux « investisseurs » de récupérer deux fois leur mise de départ.

Les attaques de type giveway bitcoin sont courantes sur Internet mais peuvent se révéler, comme dans le cas présent, efficaces : « Les cybercriminels demandent aux utilisateurs d'envoyer entre 0,1 BTC et 20 BTC à une adresse Bitcoin désignée et de doubler l'argent des victimes. Il s'agit d'une arnaque courante qui persiste depuis quelques années maintenant, où les escrocs usurpent l'identité de personnalités ou de comptes de cryptomonnaie notables. Ce qui rend cet incident particulièrement marquant, cependant, c'est que les fraudeurs ont réussi à compromettre les comptes Twitter officiels et reconnus pour lancer leurs escroqueries. Étant donné que les tweets proviennent de ces comptes certifiés, les chances des utilisateurs de faire confiance au site internet CryptoForHealth, ou à la prétendue adresse Bitcoin, sont encore plus grandes », a indiqué Satnam Naranq, ingénieur chercheur principal chez Tenable.

Un piratage de comptes Twitter d'une ampleur inédite 

Alerté par les propriétaires des comptes détournés, Twitter a commencé à éteindre l'incendie avant que les pirates engagent un nouvel acte de leur plan en détournant cette fois les comptes de dizaines d'entrepreneurs, politiques, artistes et personnalités de tous horizons afin de tenter d'extorquer le plus rapidement possible un grand volume de fonds. Parmi les victimes : Elon Musk, Bill Gates, Jeff Bezos, Apple, Uber, Kim Kardashian, Barack Obama, Joe Biden, George W. Bush, Mike Bloomberg, Benjamin Netanyahu, Warren Buffett... Le message relayé par les pirates, comprenant un lien vers un site web piégé, sur les comptes détournés était le suivant : « Je redonne à la communauté. Tous les Bitcoin envoyés à l'adresse ci-dessous vous seront rendus au double! Si vous envoyez 1 000$, je vous redonnerai 2 000$. Ce n'est valable que pendant 30 minutes ». Ce piratage massif de comptes, inédit dans l'histoire de Twitter, a permis à un groupe de cybcercriminels de récupérer pour plus de 100 000 dollars de fonds en l'espace de quelques heures.

Concernant l'origine et les moyens d'actions utilisés pour arriver à leur fin, Twitter a indiqué via son compte support : « Nous avons détecté ce que nous pensons être une attaque d'ingénierie sociale coordonnée par des personnes qui ont réussi à cibler certains de nos employés ayant accès aux systèmes et outils internes [...] En interne, nous avons pris des mesures importantes pour limiter l'accès aux systèmes et outils internes pendant que notre enquête se poursuit. Plus de mises à jour à venir alors que notre enquête se poursuit ». L'hypothèse d'une complicité interne n'est pas écartée. 

Exploitation de la crédulité humaine

« L’humain reste la cible principale des acteurs de la menaces, même dans les scénarios dans lesquels un système est aussi possiblement compromis. L'ingénierie sociale de ce scam montre que les auteurs ont d'abord ciblé des employés de Twitter ayant accès à des outils internes, puis ont compté sur la confiance accordée aux comptes vérifiés ainsi que sur l'attractivité de doubler sa mise. Au-delà, la mise en place d'une limite de temps et d'une solution simple pour le paiement ont encore ajouté à la crédibilité de l'attaque. Les acteurs malveillants comprennent parfaitement la nature humaine et restent en permanence à l'affut des opportunités de tirer parti de la confiance de notre société dans les réseaux sociaux et le numérique », a expliqué Loïc Guezo, directeur de la stratégie cybersécurité EMEA de Proofpoint.