Twitter cible d'une attaque XSS

INTERNET Le réseau a été la cible d'une attaque, mardi...

Sandrine Cochard

— 

DR

Cet article évolue en temps réel. Cliquez ici pour rafraîchir la page et accéder aux toutes dernières informations.

UPDATE: Un porte-parole de Twitter assure à Mashable que la faille devrait être très rapidement corrigée. Un peu plus tôt, le site avait indiqué sur son blog avoir identifié le problème.

Des tweets devenus entièrement noirs ou des lettres format XXL qui s’affichent verticalement et empêchent le bon fonctionnement de Twitter… Voilà ce qu’ont pu découvrir des milliers d'utilisateurs du site de micro-blogging, mardi vers 13h30.

En cause, un message retweeté automatiquement à l’insu des utilisateurs, dont Benoît Hamon et Sarah Brown, la femme du Preminer ministre britannique Gordon Brown. Dans le cas de cette dernière, il semblerait que l'attaque oriente vers un site pornographique basé au Japon, selon le site spécialisé en sécurité informatique Sophos.

Attaque XSS

S'il est impossible de poster un nouveau message - l'utilisateur est alors redirigé vers une page d'erreur - il est en revanche possible de suivre partiellement sa "timeline" (son fil d'informations). Le message à l'origine de ce hacking est un bout de code malicieux de 140 signes qui se diffuse de manière virale, donc très rapidement.

«Diffusé sous plusieurs formes modifiées par des plaisantins plus ou moins intentionnés, il peut aussi ouvrir des pop-up ou des messages d'avertissement, avec des liens souvent masqués sous un bloc noir illisible», souligne Numerama.

Il s’agit d’une attaque XSS (cross-site scripting) qui consiste à forcer un site web à afficher du code HTML ou des scripts saisis par les utilisateurs. Cette attaque, qui vise un service précis de Twitter, ne concerne que le site et ne gêne pas le fonctionnement de la version mobile de Twitter. Il est d'ailleurs possible de se connecter sans problème sur la version mobile à partir d'un ordinateur en suivant cette adresse: http://mobile.twitter.com/, ce qui permet notamment de supprimer les messages retweetés sans le vouloir et d'enrayer la spirale de ce code malicieux.

L'auteur de ce hacking a profité d'une faille détectée dans une mise à jour récente de Twitter. Il faut dire que depuis la semaine dernière, Twitter lance progressivement une nouvelle version de son site, visant notamment à faciliter et accélérer la navigation de page en page, et l'incrustation directement sur le site de programmes fournis par des partenaires, comme par exemple les photos TwitPic ou les vidéos YouTube.

Données personnelles

Les utilisateurs - 145 millions selon Twitter - doivent donc être vigilants, d'autant que cette attaque pourrait avoir d'autres conséquences qu'un simple blocage du site. «Grâce aux vulnérabilités Cross-Site Scripting, il est possible à un pirate de récupérer par ce biais les données échangées entre l'utilisateur et le site web concerné, note le site Commentcamarche.net. Le code injecté dans la page web peut ainsi servir à afficher un formulaire afin de tromper l'utilisateur et lui faire saisir par exemple des informations d'authentification.»

«Grâce aux vulnérabilités Cross-Site Scripting, il est possible à un pirate de récupérer par ce biais les données échangées entre l'utilisateur et le site web concerné, note le site Commentcamarche.net. Le code injecté dans la page web peut ainsi servir à afficher un formulaire afin de tromper l'utilisateur et lui faire saisir par exemple des informations d'authentification.» Heureusement, il semble que l'attaque a fait plus de peur que de mal.