Comment les comptes Facebook sont piratés (et comment se protéger d'être piraté)

Les attaques informatiques se multiplient, et avec elles nous constatons une importante augmentation des tentatives d'escroqueries et de tromperies numériques. L'utilisateur doit non seulement être conscient de ces manœuvres, mais aussi apprendre à reconnaître les vulnérabilités les plus courantes. Une question trop fréquente (peut-être avec une certaine intention malveillante) est de savoir comment les comptes Facebook sont piratés. Notre objectif aujourd'hui n'est pas d'expliquer cela, mais comment vous défendre contre une attaque hypothétique et garder votre profil protégé.

Mots de passe faibles

Cela semble incroyable à expliquer, mais si un utilisateur se fait pirater son compte Facebook, il est très probable qu'il ait utilisé un mot de passe trop faible, ou pire, qu'il ait réutilisé ce même mot de passe sur différents services. Si l'un d'entre eux subit une attaque et que les identifiants fuient sur le Web, toute sa vie numérique pourrait être exposée.

La première ligne de défense est de changer le mot de passe pour un autre beaucoup plus robuste, et d'utiliser un gestionnaire en même temps. Précédemment, nous avons partagé une liste des meilleurs du marché, mais personnellement je pense que KeePass reste quelques marches au-dessus du reste, grâce à son profil gratuit, open source et hors ligne.

Une autre ressource fondamentale est le site Have I Been Pwned, qui nous aide à vérifier si nos adresses e-mail se trouvent dans des bases de données fuitées. Si vous ne pouvez pas remplacer vos e-mails, vous devez au moins vous assurer que chaque service qui les utilise comme identifiant est protégé par des mots de passe forts.

Phishing (e-mails, pages, appels, etc.)

Un e-mail qui prétend venir du "département de sécurité de Facebook", une "urgence" sur votre compte bancaire, un profil sur les réseaux sociaux qui vous annonce comme gagnant d'un concours, un avertissement sur de possibles photos divulguées, des alertes sur la fermeture d'un compte... nous avons tout lu et tout entendu. Bienvenue dans le monde du phishing, l'une des méthodes les plus efficaces d'ingénierie sociale.

L'idée est simple : vous voler quelque chose. Identifiants, numéros, codes, comptes, peu importe. Certains attaquants utilisent des e-mails, des pages et des profils faux. D'autres misent sur le vishing, le voice phishing ou la voice solicitation, avec des interactions plus directes comme des appels ou des messages vocaux.

La chose la plus importante à comprendre sur le phishing et le vishing est qu'il s'agit de sécurité humaine. La vulnérabilité, c'est vous, et avec cela à l'esprit, voici quelques points que vous ne devez jamais perdre de vue :

• Personne ne va vous appeler ni vous contacter sans consentement préalable explicite. Ni Facebook, ni Netflix, ni Spotify, ni Starbucks, ni la banque, ni votre fournisseur d'accès Internet, ni le Fonds Monétaire (cela m'est arrivé), ni des princes nigérians, ni Bill Gates, ni Elon Musk. Personne. Vous devez supposer que toutes ces tentatives de communication sont malveillantes et cherchent à vous voler quelque chose.
• N'ouvrez aucun e-mail suspect, ne cliquez sur aucun lien étrange, et ne téléchargez pas de pièce jointe si vous ne pouvez pas vérifier sa provenance.
• Ne saisissez et ne partagez jamais d'informations personnelles, surtout dans des fenêtres pop-up. Aucune entreprise réelle ne vous demandera des données de cette façon.
• Cherchez les fautes d'orthographe ou les problèmes de traduction. Une caractéristique du phishing est que de nombreuses attaques sont de mauvaise qualité et ignorent des détails de base comme l'orthographe.

Man in the Middle (MITM)

Nous aimons le WiFi public et gratuit, pourquoi le nier ? Cela nous maintient connectés, aide à économiser des données sur nos forfaits, et nous a sortis de l'embarras à plusieurs reprises, cependant... ce n'est pas nécessairement sûr. Le concept de Man in the Middle s'applique à de nombreux cas, mais ici nous devons imaginer un réseau WiFi faux ou compromis par un élément malveillant qui se fait passer pour un réseau WiFi public. Peu importe exactement comment : si l'attaquant sait ce qu'il fait, il peut écouter/enregistrer tout ce qui passe par son réseau, y compris les identifiants Facebook et d'autres réseaux sociaux.

L'idéal serait d'éviter complètement les réseaux WiFi publics, mais nous devons être réalistes : au minimum, assurez-vous que le réseau disponible est de confiance (demander le nom du réseau dans un établissement ne fait jamais de mal), et essayez d'utiliser un VPN pour les connexions les plus délicates. Voici quatre options gratuites si vous ne savez pas par où commencer.

Keylogging

De loin, le pire cas. La présence d'un keylogger équivaut à un appareil compromis, et il en va de même pour tous les services auxquels vous avez accédé. Comme son nom l'indique, le keylogger enregistre tout ce qui passe par le clavier, des noms d'utilisateur et mots de passe aux numéros de carte et codes PIN de sécurité. Si quelqu'un a installé un keylogger sur votre ordinateur, il cherche beaucoup plus que pirater votre compte Facebook.

Techniquement, il est possible de se remettre d'une attaque comme celle-ci (« Nuke and pave », changement de tous les mots de passe sur tous les services, et vigilance extrême pour détecter des mouvements étranges dans la banque en ligne et d'autres profils), mais la meilleure défense est d'empêcher que le keylogger soit installé en premier lieu.

• Encore une fois, méfiez-vous de tout lien de téléchargement ou pièce jointe étrange que vous pourriez recevoir. Essayez de vérifier son origine. Demandez.
• Sur les appareils mobiles, évitez les claviers alternatifs développés par des entreprises sans réputation. Le Play Store mène une bataille constante contre les applications malveillantes qui cherchent à voler des informations, et il ne manque jamais le clavier avec des cadeaux en arrière-plan…
• La sécurité des systèmes d'exploitation actuels s'est beaucoup améliorée, mais ce n'est jamais une mauvaise idée d'ajouter un outil de protection supplémentaire. Malwarebytes reste l'un des plus recommandés, et il a un article complet dédié aux keyloggers.
• Ordinateur partagé ? Vérifiez les ports USB et d'autres détails. Nous avons déjà entendu des histoires de matériel mystérieux dans le passé...

En résumé

Certains attaquants se concentrent sur une de ces stratégies. D'autres appliquent une combinaison de toutes, mais pour obtenir l'accès à un compte Facebook, il est très probable qu'ils testent des mots de passe faibles et ciblent le phishing. Bien sûr, cela ne se limite pas à Facebook. Vous devez aussi penser à Twitter, TikTok, Instagram, Discord, Twitch, et tout ce qui vous intéresse en ligne. Bonne chance !