Panique à bord pour les utilisateurs du réseau social Instagram ! La fuite de données orchestrée par le groupe « DoxAGram Team » s’avère beaucoup plus sévère que prévue, et représente 6 millions de comptes.

Alors que certains pensaient que seuls quelques comptes de célébrités étaient touchés en fin de semaine dernière, il s’avère que le piratage est massif : plus de 6 millions de comptes utilisateurs sont en fuite sur le DarkNet, et les données de certaines célébrités sont à vendre à l’unité à 10 dollars pièce (en Bitcoin) ou en pack avec des tarifs promotionnels. On retrouve les informations personnelles (y compris le numéro de téléphone mobile comme le rapport le communiqué officiel) de stars telles que Selena Gomez, les noms de Justin Bieber, de Taylor Swift, Neymar ou encore Kirsten Dunst.

Les cybercriminels semblent avoir réussi à exploiter la faille de sécurité de manière automatisée afin d’extraire des données de plusieurs millions d’utilisateurs. Malins, il ont aussi ouvert le service dédié Doxagram sur le DarkWeb afin de commercialiser les données volées… La faille en question se trouvait dans une API Instagram depuis 2016, utilisée dans une ancienne version de l’application mobile, et plus précisément, au sein de la fonction de réinitialisation du mot de passe. La vulnérabilité a été signalée par Kaspersky à Instagram, qui l’a corrigé dans le courant de la semaine dernière. Attention tout de même, car à ce jour, rien ne prouve que ce soit cette vulnérabilité qui a été exploitée par les pirates pour dérober ces données sensibles : elle ne semblait pas être l’idéale pour extraire à grande échelle…

Notons que les données en fuites concernent les adresses e-mail et les numéros de téléphones entre autre, mais pas de mots de passe. Les pirates ont envoyé un échantillon de 10 000 comptes à Ars Technica et le chercheur et expert en sécurité Troy hunt a pu les authentifier.

On retrouve donc une véritable industrialisation du processus de commercialisation des données personnelles volées, que l’on appelle couramment « Doxing as a service« .

En parallèle, Instagram explique être en train d’enquêter sur cette brèche de données et invite ses utilisateurs à la prudence afin d’éviter que des cybercriminels n’exploitent les données récupérées pour prendre le contrôle du compte de la cible. La société précise que les mots de passe des utilisateurs n’ont pas été dérobés, mais les informations personnelles telles que les numéros de téléphone peuvent être utilisées pour réinitialiser les mots de passe sur certains services, ou pour des tentatives de phishing plus élaborées. Une chose est sûre, c’est que l’on a affaire ici à un très gros leak, qu’il ne faut pas ignorer.

Notons que les pirates se seraient vantés de détenir l’intégralité des données des 200 millions d’utilisateurs du réseau social. Facebook, de son côté, a déclaré que cette information était mensongère. Affaire à suivre !

Source: UnderNews.fr