Le groupe informatique américain Apple a confirmé mardi une cyberattaque ciblée contre les comptes de plusieurs stars américaines, dont des photos dénudées se sont retrouvées sur internet, mais affirme que la sécurité de ses systèmes n'est pas en cause.

>> Commentez sur le blogue Techno

Des dizaines de stars faisaient part de leur indignation depuis lundi, alors que certaines photos circulaient sur la toile.

Si l'actrice Kirsten Dunst, touchée par la fuite géante de photos volées, réagissait avec humour par un simple «Merci iCloud» sur Twitter, d'autres célébrités dénonçaient une vaste agression sexuelle.

«N'oubliez pas que la personne qui a volé ces photos et les a fait fuiter n'est pas un pirate informatique mais un délinquant sexuel», insistait ainsi l'actrice et productrice de la série Girls, Lena Dunham, sur son propre compte.

Selon plusieurs médias américains, les pirates ont puisé dans les serveurs du service de stockage en ligne iCloud d'Apple, mais des services similaires d'autres opérateurs pourraient également être concernés.

«Après plus de 40 heures d'enquête, nous avons découvert que certains comptes de célébrités avaient été compromis par une attaque très ciblée sur leurs noms d'utilisateurs, leurs mots de passe et leurs questions de sécurité, une pratique devenue beaucoup trop fréquente sur internet», a indiqué Apple mardi dans un communiqué.

Il ajoute toutefois: «Aucun des cas examinés ne résultait d'une quelconque faille dans un quelconque système d'Apple, y compris iCloud ou (le système permettant de retrouver un téléphone perdu ou volé) Find my iPhone», également mis en cause par certains experts.

En clair, les pirates auraient procédé de manière assez classique, piratant un par un les comptes qui les intéressaient, mais il n'y aurait pas eu de violation à grande échelle des serveurs du groupe à la pomme.

Apple assure qu'il continue de coopérer avec les forces de l'ordre pour aider à identifier les pirates.

«La protection des données privées et la sécurité de nos clients est de la plus haute importance pour nous», réaffirme-t-il.

Facile à utiliser, facile à pirater 

La police fédérale américaine (FBI) s'est dit pour sa part «consciente des accusations d'intrusions informatiques et de la diffusion illégale de documents concernant des personnalités de premier plan», et «s'occupe du sujet».

Elle n'a pas donné de détails supplémentaires, mais plusieurs stars ont fait part de leur indignation et menacé de saisir la justice.

L'agent de l'actrice Jennifer Lawrence, qui figure parmi les victimes, a notamment évoqué «une violation flagrante de la vie privée».

Tout comme l'avocat du mannequin Kate Upton qui a prévenu que des poursuites seraient engagées contre tous ceux qui publient les photos volées.

Parmi les victimes présumées des piratages figureraient également selon divers médias Avril Lavigne, Amber Heard, Scarlett Johansson, Wynona Ryder, Hayden Panettiere, Hillary Duff, Jenny McCarthy, Kaley Cuoco, Kate Bosworth, Keke Palmer et Kim Kardashian.

Devant les menaces de poursuites et l'indignation générale, le réseau social Twitter a commencé à suspendre dès dimanche soir des comptes comportant des liens vers certaines des photos, tandis que plusieurs médias qui les avaient aussi publiées les ont supprimées de leurs pages.

Selon le site de potins Gawker, des utilisateurs de la plateforme de partage anonyme de photos volées de femmes AnonIB se vantent d'être les auteurs du piratage depuis la semaine dernière.

Cachés derrières des pseudonymes, plusieurs d'entre eux auraient même tenté d'en vendre ou de les échanger avec d'autres internautes.

Selon Chris Morales, expert en sécurité chez NSS Labs, les pirates pourraient avoir accédé non seulement aux comptes de célébrités, mais aussi à ceux de leurs amis ou associés. «Quelqu'un a vraiment beaucoup creusé», commente-t-il.

Il envisage aussi que les personnes qui ont publié les photos volées pourraient ne pas être elles-mêmes pirates, mais les avoir obtenues par la suite.

Pour lui, les pratiques de sécurité d'Apple peuvent être mises en cause, mais il applique les mêmes règles que le reste du secteur: le groupe veut des services «faciles à utiliser, donc c'est facile à pirater».

Une simple affaire de mot de passe

Il a suffi d'un oubli d'Apple, d'un logiciel simple et d'un mode d'emploi pour que n'importe qui puisse accéder ce week-end à des comptes personnels sur iCloud: Gérôme Billois, expert en cybersécurité, décode le vaste piratage de dizaines de photos de vedettes hollywoodiennes dénudées.

Comment les photos ont-elles été piratées?



«Des pirates ont volé le mot de passe de célébrités pour leur compte iCloud, le service en ligne d'Apple qui stocke tout type de contenus. Ce week-end, quelqu'un a posté sur le site GitHub un message dévoilant une faille de sécurité dans le service "localiser mon iPhone" d'Apple, une application qui permet de localiser un smartphone disparu. Sur la partie du service destinée aux développeurs, mais accessible à tous en ligne, Apple n'avait pas verrouillé l'interface où il faut entrer le mot de passe de son compte iCloud : le nombre d'essais était illimité, alors que le portail grand public d'Apple bloque après cinq tentatives erronées. En même temps, le pirate a posté un logiciel qui teste automatiquement tous les mots de passe possibles, un outil dit «Brute force», qu'il avait rebaptisé iBrute -- contraction de iCloud et de Brute Force. Et il expliquait comment l'utiliser très simplement. N'importe qui a pu alors forcer des comptes iCloud de vedettes et accéder à leurs contenus, y compris les photos de leurs téléphones».

Peut-on éviter de tels piratages?



«On stocke maintenant toutes ses données dans le cloud (le nuage informatique, c'est-à-dire des serveurs extérieurs). iCloud est le service d'Apple où on peut accéder à tous ses documents de n'importe quel appareil. Cela permet par exemple, quand on change de téléphone, de retrouver et de recharger toutes ses données, mails, photos, etc. D'un point de vue fonctionnel, c'est très bien. Mais la clé de voûte de tous ces services repose sur le mot de passe, qui est souvent faible et dont on sert pour différents services. C'est pour cela qu'on vous demande d'utiliser des mots de passe longs ou avec des chiffres. Il est encore mieux d'utiliser des authentifications à deux facteurs: par exemple, on vous demande aussi un code envoyé par SMS à votre téléphone, comme font certaines banques. Quant aux questions secrètes (qui peuvent remplacer le mot de passe), d'une part, il faut avoir confiance dans les personnes susceptibles de connaître les réponses, et d'autre part, si vous êtes une célébrité, il est facile de trouver votre lieu de naissance ou autre question "secrète" habituelle».

On parle souvent de failles de sécurité. Est-ce fréquent?



«Le code d'éthique des experts en sécurité informatique consiste à ne révéler les failles qu'une fois qu'elles ont été corrigées. Là, celui qui a révélé la faille n'a pas averti Apple avant et en plus, il a fourni un outil d'attaque. Il a même sorti aussi la liste des 500 mots de passe les plus utilisés. Le groupe a corrigé l'erreur mais il lui a fallu du temps pour réagir, ce qui est normal, car il faut au moins 24 heures pour vérifier si les failles existent».

Gérôme Billois est expert au Cercle européen de la sécurité et des systèmes d'information et au sein du cabinet Solucom, une société de sécurité informatique.

- Entrevue de Laurence BENHAMOU, PARIS