Comment ne pas se faire pirater son compte
Les quatre conseils à suivre absolument si vous ne voulez pas subir le sort de Mat Honan, journaliste techno.
- Spring 2012 Student Hackaton Coding / hackNY via FlickrCC LicenceBy -
Vendredi dernier, dans la soirée, un hackeur s'est introduit dans le compte Apple de Mat Honan. Il a effacé à distance toutes les données qui se trouvaient sur son iPhone, son iPad et son MacBook, supprimé son compte Google et pris les commandes de son compte Twitter, pour ensuite poster plein de vilaines choses en son nom.
Voici encore peu de temps, Honan, qui écrit pour Wired et qui est l'un de mes journalistes techno préférés, travaillait à Gizmodo et son compte Twitter restait lié au compte principal de ce blog – ce qui fait que, là-bas aussi, et pendant environ 15 minutes, le hackeur a pu s'en donner à cœur joie niveau injures et horreurs racistes.
J'étais dans un avion qui traversait les États-Unis quand j'ai lu le premier post d'Honan relatant son piratage. Le capitaine venait à peine d'activer le Wi-Fi à bord de la cabine que j'ai fait ce que je fais toujours quand j'entends parler d'une attaque qui aurait pu m'arriver: j'ai modifié mes mots de passe. Mes angoisses se sont calmées, mais, dans ce cas, la manœuvre n'aurait rien changé.
Honan a passé son week-end pendu au téléphone, entre le service technique d'Apple et – assez bizarrement – son hackeur. Le lundi matin, le pillage de ses identités numériques n'avait plus aucun secret pour lui. Conclusion de son enquête: de bons mots de passe ne lui auraient été d'aucun secours.
Dans un long article publié dans Wired, Honan explique que le hackeur s'est introduit dans son compte, non pas en devinant ses mots de passe, mais en les demandant. Vendredi, le pirate a appelé le service technique d'Apple en se faisant passer pour lui et en prétendant qu'il n'arrivait plus à accéder à son compte. A l'autre bout du fil, l'employé d'Apple a demandé au hackeur les réponses aux questions de sécurité d'usage, ce à quoi le pirate a visiblement rétorqué qu'il les avait oubliées.
Pas de problème, car le pirate savait quelque-chose que nous sommes nombreux à ignorer: si vous n'arrivez pas à répondre à vos questions de sécurité, Apple vous donnera quand même un autre mot de passe si vous arrivez à prouver que vous êtes la personne que vous prétendez être via un autre type d'identification. Et quelle identification vous demande-t-on chez Apple pour réinitialiser votre mot de passe? Votre adresse de facturation et les quatre derniers chiffres de votre carte de crédit.
Les adresses de facturation sont faciles à trouver sur Internet, et les numéros de cartes de crédit sont à peine plus difficiles à débusquer. Le hackeur avait toutes ces données en sa possession. L'adresse de facturation, il se l'était procurée par le nom de domaine du site personnel d'Honan, et les numéros de sa carte de crédit, il avait pu les récupérer grâce un autre mastodonte d'Internet, Amazon.
Le pirate avait demandé à Amazon de remplacer l'adresse mail d'Honan par la sienne – celle du hackeur – sur son compte, une requête qu'Amazon s'était empressée de satisfaire. Ensuite, le hackeur s'est fait envoyer via Amazon un mail de récupération de mot de passe –il a donc reçu sur son propre mail un lien qui lui a permis de changer le mot de passe du compte d'Honan et d'accéder à toutes les informations qu'il contenait, y compris de voir les quatre derniers chiffres de sa carte de crédit.
Et là, bingo! Le hackeur pouvait maintenant accéder au compte Apple d'Honan et supprimer toutes les données des appareils liés à son profil iCloud (son iPad, son iPhone et son Mac). Et parce que l'adresse du compte Apple d'Honan était l'adresse alternative de son compte Google, le hackeur n'avait plus qu'à se faire envoyer par Google un lien de récupération de mot de passe pour accéder aussi à son compte Gmail.
L'histoire est horrible. Les défaillances sont nombreuses – elles sont relativement minces de la part d'Honan (il n'avait pas sauvegardé ses données), mais elles sont énormes et effrayantes en ce qui concerne Apple et Amazon. Néanmoins, en détaillant ce piratage spectaculaire, il est possible d'en retenir quelques leçons.
Pour réduire la probabilité de ce genre d'attaque, voici quatre choses qu'utilisateurs comme entreprises devraient faire immédiatement:
1. Tout le monde devrait, tout de suite, se mettre à l'authentification forte
Pour accéder à la plupart des comptes sur Internet, vous n'avez qu'à récupérer un seul type de données –un mot de passe. (Sur de nombreux services –vos comptes mail, Twitter ou Facebook– votre nom d'utilisateur est votre signature publique, à laquelle tout le monde a accès).
A une époque, les mots de passe étaient suffisants (et vous devriez suivre mes conseils pour vous en créer de très sécurisés et de très facilement mémorisables), mais vu que nous stockons désormais tant d'informations sensibles en ligne, il nous faut des précautions supplémentaires.
Heureusement, cette précaution existe. Malheureusement, très peu de gens l'utilisent. Cela s'appelle «l'authentification forte» –il s'agit d'un système de sécurité requérant deux éléments de validation avant de vous laisser accéder à votre compte. Le premier est quelque-chose que vous savez –votre mot de passe. Le second, quelque-chose que vous avez en votre possession: un marqueur biométrique (votre empreinte digitale, par exemple), une clé électronique ou –la plus aisée des options– un téléphone portable générant un code unique.
L'an dernier, Google a ajouté un système à authentification forte sur ses comptes. La chose fonctionne parfaitement: une fois l'option activée, installez l'application «authentificatrice» sur votre smartphone. Ensuite, dès que vous voudrez vous connecter, il faudra taper votre mot de passe et le code généré par votre téléphone (ce qui fonctionne même s'il n'est pas relié à Internet). Si vous n'avez pas de smartphone, il est aussi possible de recevoir ce code par SMS. Sur Facebook, aussi, ce genre de validation en deux étapes est disponible depuis l'an dernier.
Le problème de l'authentification forte, c'est qu'elle est un peu pénible. Sur Google, il est possible, sur certains appareils enregistrés, de n'avoir à saisir le code qu'une fois toutes les deux semaines, mais c'est encore trop fatigant quand on est paresseux. Pire encore, vu que certains programmes qui se connectent à votre compte Gmail n'utilisent pas l'authentification forte –l'application mail de votre smartphone, par exemple– il vous faudra passer d'autres épreuves de configuration avant de pouvoir vous en servir correctement. Ce qui demande un minimum de connaissances techniques, le bouzin n'étant pas encore suffisamment accessible à la majorité des utilisateurs.
Ce qui explique, je suppose, qu'Apple n'ait pas encore ajouté l'authentification forte à ses services. Mais j'espère qu'elle cherche actuellement un moyen d'augmenter son niveau de protection et de permettre au grand public d'y accéder (une idée: un lecteur d'empreintes digitales intégré à tous ses appareils). Si un tel système avait été en service, l'attaque des appareils d'Honan n'aurait jamais eu lieu. Même si le hackeur connaissait son mot de passe, il lui aurait manqué l'autre élément –l'empreinte, le code, le truc en plus– pour accéder à ses comptes.
Ensuite, Honan n'avait pas activé la validation en deux étapes sur son compte Google. S'il l'avait fait, le pirate n'aurait pas pu accéder à son compte Gmail après le torpillage de son compte Apple. Certes, il aurait pu se faire envoyer un mail de récupération de mot de passe, mais le code généré par le smartphone d'Honan lui aurait toujours manqué.
2. Sérieux, payez-vous un service de sauvegarde. Faites-le maintenant. Vous attendez quoi?
La seconde leçon à retenir de de drame est évidente: faites des copies de sauvegarde de toutes vos données. Il y a de grandes chances que vous ne le fassiez pas. Vous pensez peut-être que c'est trop difficile ou trop onéreux. Vous pensez peut-être que rien ne vous arrivera. Ou vous avez peut-être l'intention de le faire dès que vous aurez un moment de libre, le week-end prochain par exemple.
Mais le meilleur moment pour le faire, c'est maintenant. Oubliez tout ce que vous avez entendu, la sauvegarde de secours est facile et pas chère. Avant, je conseillais aux gens d'utiliser Mozy, mais j'ai désormais opté pour un service qui s'appelle CrashPlan –c'est la façon la plus simple et la plus économique de sauvegarder toutes vos données.
Voici comment faire. Rendez-vous sur le site de CrashPlan. Téléchargez le logiciel. Choisissez les trucs sur votre ordinateur que vous voulez sauvegarder –vos documents, photos, vidéos, musique, etc. Laissez ensuite le programme tourner. Dans quelques jours –en fonction de la quantité de vos données et de la vitesse de votre bande passante– vos données seront encryptées et envoyées aux serveurs de CrashPlan, qui les sécurisera bien mieux que vous.
Pour tout cela, les tarifs de CrashPlan (après un mois d'essai gratuit) sont vraiment formidables. Vous ne paierez qu'1,5 dollar [1,2 euro] par mois pour un ordinateur et 10 GB de données, 3 dollars [2,4 euros] pour un ordinateur et une capacité illimitée et 6 dollars [4,9 euros] par mois pour un maximum de dix ordinateurs et aucune limite de données (en somme, pour protéger tous vos appareils).
Quand je conseille de faire des sauvegardes dans le cloud, les gens font souvent la moue –et si les serveurs de CrashPlan étaient détruits ou piratés? A mon avis, ces angoisses sont infondées (si CrashPlan se fait pirater, vos données sont de toute façon encryptées), mais en matière de sauvegarde, on n'est jamais trop prudent. Si vous voulez aussi faire une copie de secours de vos données sur un disque dur externe, faites-vous plaisir. Et, ici aussi, le logiciel de CrashPlan peut vous être utile.
Vous avez l'impression de lire une publicité pour CrashPlan? Sachez que l'entreprise ne m'a pas payé un centime pour écrire cela, mais je ne rigole pas quand je dis que CrashPlan est l'extension la plus précieuse et la plus utile que vous pourrez vous acheter.
De fait, si j'étais le roi d'Internet, la sauvegarde de secours serait implémentée partout et par défaut. N'importe quel appareil aurait son système de sauvegarde et vos données seraient copiées automatiquement, sauf si vous avez choisi de ne pas le faire. La première entreprise à proposer ce service fera un malheur.
Si Apple veut réellement faire le bonheur de ses utilisateurs, elle devrait racheter CrashPlan, intégrer le service dans tous ses appareils et proposer gratuitement et à tout le monde une capacité de sauvegarde illimitée. Apple a suffisamment d'argent pour cela et l'entreprise ne devrait pas avoir de mal à comprendre quel immense atout marketing se cache derrière des systèmes de sauvegarde bien conçus: «Ne perdez plus jamais rien». Pas mal comme slogan, non?
3. L'effacement à distance ne sert à rien. Désactivez l'option «Find My Mac» et encryptez plutôt vos données.
Avoir la possibilité de retrouver vos appareils perdus, sur le papier, c'est une très bonne idée. Vous avez dépensé beaucoup d'argent pour cette tablette, ce téléphone et cet ordinateur portable. Pourquoi ne pas vouloir les localiser en cas de perte ou de vol? Et dans ce dernier cas, ne voudriez-vous pas, aussi, pouvoir effacer vos données à distance et empêcher le voleur d'y farfouiller?
En théorie, oui, évidemment. Mais l'intégration par Apple de l'option «Find My» à son système n'est pas des plus sécurisée. Si un pirate rentre dans votre compte iCloud, il pourra se connecter à tous vos appareils et supprimer toutes les données qu'ils contiennent. C'est ce qui est arrivé à Honan, et c'est ce qui pourrait vous arriver aussi.
Tant qu'Apple n'aura pas trouvé de meilleur moyen pour empêcher à d'autres personnes d'effacer vos données (avec peut-être un système à authentification forte sur l'effacement de données à distance), il vaut mieux désactiver l'option Find My Mac.
Mais que faire si quelqu'un rentre, physiquement, dans votre ordinateur –comment empêcher l'accès à vos données si votre ordinateur tombe entre de mauvaises mains? En réalité, il existe une solution plus efficace que l'effacement à distance: cela s'appelle le chiffrement de disque. L'option est intégrée au Mac et à certaines versions de Windows, il ne vous reste plus qu'à l'activer (voici comment le faire sur Mac OS Lion et sur les versions Ultimate ou Enterprise de Windows 7).
Avec le chiffrement de disque, tous les bits de tout votre disque dur sont sens dessus-dessous; la seule façon d'y accéder, c'est de rentrer un mot de passe (ici aussi, évidemment, l'authentification forte est recommandée). Le chiffrement de disque ralentit un chouïa votre ordinateur, mais cela n'est pas très grave. Et si vous le perdez ou qu'on vous le vole, vous pouvez être sûr que vos données seront en sécurité –à moins que le pirate connaisse votre mot de passe, il ne pourra pas y accéder.
4. Attention à la récupération de mot de passe. Faites en sorte que vos comptes ne soient pas reliés les uns aux autres.
Dernière chose à faire: vérifiez qu'on ne peut pas remonter tous vos compte grâce au système de récupération de mot de passe. En particulier, jetez un œil à vos comptes mails principaux, vos comptes bancaires et financiers, vos réseaux sociaux, etc. Chacun de ces services vous demande une adresse mail pour récupérer votre mot de passe en cas d'oubli.
Et s'ils sont tous liés les uns entre les autres, il suffira de pirater un seul compte pour accéder à tous les autres. Par exemple, si vous avez configuré votre Gmail pour qu'il vous envoie le lien de récupération sur votre compte Apple, et si votre banque vous les envoie sur votre Gmail, un pirate qui voudra faire des ravages dans vos finances n'aura qu'à récupérer votre mot de passe iTunes (qui n'est probablement pas très long, car vous détestez taper votre mot de passe sur votre écran tactile quand vous voulez télécharger des applications).
Avec votre mot de passe iTunes, il pourra accéder à votre Gmail en demandant une récupération de mot de passe, une fois dans votre Gmail il pourra accéder de la même manière à votre compte en banque, et ainsi de suite. C'est précisément ce qui est arrivé à Honan.
Ici, quelle est la solution? Créer une adresse mail unique, ultra-sécurisée, à laquelle vous vous ferez envoyer toutes vos demandes de récupération de mot de passe. Qu'est-ce que j'entends par ultra-sécurisée? Un compte Gmail –quelque-chose qui ressemble à jepariequetunedevinerasjamaiscetteadresse@gmail.com– flanqué d'un mot de passe extra-solide et sur lequel l'authentification forte sera activée.
Ensuite, allez sur tous vos comptes et renseignez cette adresse secrète dans le champ de récupération de mot de passe. Il est très important de ne jamais utiliser cette adresse pour quoi que ce soit d'autre –n'envoyez jamais de mail avec, ne l'inscrivez pas à des newsletters, que personne ne sache qu'elle est liée à votre personne. Tant qu'elle restera secrète, tous vos mots de passe récupérés par ce biais seront sûrs.
En ligne, rien n'est jamais sûr à 100% –s'ils sont déterminés, des hackeurs peuvent accéder à tout ce qu'ils veulent, il faut juste qu'ils s'en donnent la peine. Mais le type qui a attaqué Honan était loin d'être un génie. C'était juste un gamin qui voulait emmerder le monde et qui connaissait quelques points faibles d'Apple, d'Amazon, et d'autres services qui régissent nos vies en ligne. Mais avec quelques petites précautions, son attaque aurait été bien plus difficile à réaliser. Les conseils que je viens de vous donner ne sont vraiment pas compliqués. A vous maintenant de les suivre, sans plus attendre.
Farhad Manjoo
Traduit par Peggy Sastre
, suivez-nous sur 
Mis à jour le 17/08/2012 à 14h35
pour ne pas se faire pirater son compte sur internet
ne pas avoir de gestion de compte sur internet
ne rien avoir sur son compte (ou pas grand chose)
comme ça ni les voleurs ni les banquiers ne peuvent vous le pirater...
quand à payer pour ne pas être piraté?
laissez moi rire
ce sont les mêmes
et sinon ils sont associés avec ou sans intérêts
et puis c'est juste le fonctionnement de la mafia
si tu ne veux pas avoir peur , racke.
Merci pour cet article.
Il existe des solutions de type coffre fort à mot de passe (exemple: LastPass) qui créent un mot de passe unique et "difficile" pour chaque site puis les stockent dans un coffre-fort "sécurisé qui s'ouvre avec un seul mot de passe.
A votre connaissance, ces solutions sont elles fiables?
@rahane
"quand à payer pour ne pas être piraté? laissez moi rire ce sont les mêmes et sinon ils sont associés avec ou sans intérêts et puis c'est juste le fonctionnement de la mafia si tu ne veux pas avoir peur , racke."
Oui, d'ailleurs il faut également se passer de verrous chez soi, qui ne sont là que pour enrichir la mafia des serruriers.
Et pour qui n'a pas de portable?
ça peut sembler incroyable mais je n'en possède pas, et j'en connais beaucoup, nous sommes délaissés, oubliés et réduits par la statistique!
c'est d'ailleurs une honte de réserver aux seuls possesseurs de mobiles cette authentification!
On se croirait revenus à il y a des années quand à chaque inscription à quelque chose sur internet on vous réclamait le portable, commençant par 06 et pas autre chose, en téléphone rendant impossible de s'inscrire sans cela...
Déjà le mot hask n' pas vraiment un sens à proprement parlé. Hackeur signifie bidouiller, bricoler, créer à partir d'une chose pour en inventer une autre. Le mot hack n'a pas vraiment de traduction et je constate avec effrois que ce mot est trop souvent utilisé à ort et à travers. Faut-il rappeler que c'est grâce à hackeur que la technologie en informatique et hi-tech progresse ? Faut-il rappeler que beaucoup de personnage connue dans le monde informatique et tech sont issu de ce milieu comme par exemple la bosse de Free. J'en passe des verts et pas mûrs..
Ensuite dans cette histoire sur le journaliste techno qui se fait pirater son compte appel je ne vois pas du tout où est le hack ? Où est le piratage dans cette histoire ? Hack comme vous semblez et aimez négativement parler. Pour moi, ce n'est pas du piratage. Le hackeur comme vous dite n'a rien pirater. Il n'a pas user de virus, de logiciel où tout autres programmes pour contourner les protections de l'ordinateur ainsi que ses divers comptes web/sociaux de ce pauvre journaliste. Pauvre si on veut, disons au second degrés).
Bref, il n'y a rien pour moi dans cette faire qui soit en rapport avec du piratage informatique. Le hackeur comme vous dite, à simplement prit son téléphone et à contacter le service technique de Apple et il a effectué quelques recherches sur Amazon et autre pour trouver les informations de la carte bleue de ce journaliste. Et cet abruti de technicien de chez Appel à envoyer des informations confidentielles à un gars se faisant passer pour le propriétaire du compte en question. Donc techniquement le hackeur n'a pas piraté et on ne peut pas le considérer comme étant un pirate où hackeur (hackeur comme vous dite si négativement, je vous rappel).
Je constate donc que par la faute de certaines personnes, de nos jours on salit ce qui est à la base des métiers dignes pour en faire des gens peu fréquentables et en plus on détourne des mots comme hack où hackeur qui à la base n'ont aucuns rapport avec le piratage.
En conclusion, il n'y a pas eu piratage. Tout est de la faute du technicien et d'après moi la responsabilité de ce problème revient à Apple sans qui tout cela ne serait pas arrivé si ils avaient prit toutes les précautions d'usage et normaux !!!
Je trouve cette histoire plutôt drôle et ironique et en plus mensongère. Marre de lire sans cesse des inventions, de constater que des mots sont détourner. Le hack sans lui on serait encore en train de surfer sur des ordinateurs pourrie, et en train de payer internet au débit. Et on aurait pas toute la technologie qu'on a aujourd'hui.
D'ailleurs, en ce sens, Apple est un hacker puisque membre d'Open BSD et de Free BSD… intégrés à Mac OS X. Idem Linux et même Windows, pour ses services de stockage dédiés à l'entreprise.
Bonjour
Outre la première recommendation (renforcer son mot de passe), les autres sont fumeuses et l'article decrit bien comment éviter les embuches pour les hackers.
1- renforcer le mot de passe avec des chiffres et des signes de ponctuation. 111???ééé est considéré comme un mot de passe renforcé par exemple.
2- en changer plusieurs fois par an,
3- utiliser l'identification super-renforcee sur yahoo (sceau d'identification)
4- eviter de stocker des emails avec des donnees personnelles (identite ou bancaire)
5- créer une nouvelle boite email dédiée aux forums, abonnements, souscriptions, facebook, et utilisations dites publiques ... et reserver la boite principale aux transactions internet, famille, affaires et choses plus personnelles. N'importe quel smartphone peut gerer plusieurs adresses email.
6- eviter la reconnaissance automatique
7- ne repondez jamais aux tentatives de phishing et elles ont nombreuses
Cordialement
Chick Une