Le réseau social Twitter a confirmé mercredi un piratage de nombreux comptes privés, institutionnels et de médias en Europe, qui ont affiché des messages en turc, et précisé que le problème venait d'une «application tierce» de statistiques.

Ce piratage souligne les vulnérabilités qu'offrent ces «applications tierces» qui gravitent autour des stars de l'internet en facilitant leur usage pour les utilisateurs.

Que s'est-il passé ?

Dans la nuit de mardi à mercredi, plusieurs centaines de comptes Twitter ont commencé à publier des messages reprenant une partie des déclarations du président turc Recep Tayyip Erdogan faisant un parallèle entre le nazisme et le refus des Pays-Bas et de l'Allemagne d'accepter la venue d'officiels turcs à l'occasion de rassemblements en faveur du référendum du 16 avril, qui doit accorder plus de pouvoir au président turc.

Parmi les victimes, on retrouve l'ex-premier ministre français Alain Juppé, l'Académie de Rennes mais également un compte d'Amnesty International, celui du ministère français de l'Économie, du Parlement européen ou encore la BBC Amérique du Nord.

Pourquoi Twitter a-t-il été visé?

«L'avantage de Twitter est que son usage est très répandu, il s'agit d'un excellent vecteur de communication», rappelle Michaël Bittan, Associé responsable des activités de gestion des risques cyber chez l'entreprise Deloitte.

«Cette attaque a été inspirée par les différentes attaques de ces deux dernières années sur le font de la guerre de l'information», ajoute Loïc Guézo, stratégiste cybersécurité Europe du Sud chez la société Trend Micro, comme les piratages de comptes Twitter de médias internationaux par des cybercriminels se présentant comme des Syriens pro-Assad. «Mais à ma connaissance, c'est la première fois qu'une attaque est liée à la Turquie», note-t-il.

Comment ce piratage massif a-t-il été réalisé?

Difficile d'avoir une réponse précise sur le mode opératoire des pirates, l'enquête n'en étant encore qu'aux prémices. Il semblerait cependant que l'accès aux comptes se soit fait via Twitter Counter, une application proposant des statistiques aux utilisateurs de Twitter sur leur compte.

«Ces applications doivent avoir un accès direct à votre compte Twitter afin de disposer des données dont elles ont besoin. Certaines peuvent même poster sur votre compte. Si cette application est compromise, votre ou vos comptes le sont également», détaille Tanguy de Coatpont, directeur général France de l'entreprise Kaspersky Lab.

«Il y a un effet de levier énorme, en piratant un compagnon de Twitter on peut inonder potentiellement l'ensemble des comptes qui avaient autorisé ces applications» ajoute de son côté Loïc Guézo. Or il existe des milliers d'applications en tout genre visant à aider l'internaute ou une entreprise dans son usage de Twitter.

Difficile également, pour l'heure, de savoir qui est derrière cette attaque mais les auteurs «ont peut-être laissé des traces informatiques qu'on va pouvoir étudier pour établir une responsabilité et donc une attribution claire», pense M. Guézo. «Le niveau de technicité de cette attaque ne semble pas très élevé», estime Tanguy de Coatpont.

Peut-on se prémunir contre ce type d'attaques?

De l'avis de l'ensemble des experts, la multiplication des usages numériques ne fera qu'augmenter le nombre de vulnérabilités et les risques d'attaques. «Ce qui peut faire la différence aujourd'hui, c'est la capacité et la vitesse de réaction des entreprises attaquées. Ici, la réaction a été rapide», selon M. Bittan.

Et les applications représentent autant de portes d'entrée potentielles vers des comptes, même bien protégés. Car si la protection des comptes sur les réseaux sociaux est désormais assez bien intégrée par la majorité des utilisateurs, ils se montrent souvent moins regardant quant aux applications, qui ont pourtant bien souvent accès à d'importantes données personnelles. «Ce genre d'attaque souligne qu'il existe énormément d'application tierces avec un accès direct, si elles sont moins bien protégées elles servent de porte dérobée», rappelle M. de Coatpont.

Twitter rappelle de son côté à ses utilisateurs de ne pas donner leurs identifiants et mots de passe à des applications tierces fonctionnant autour du réseau social.