Posté le février 22, 2019 à 20:50
UN CAS EXTRAORDINAIRE DE VENGEANCE DES HACKERS: 140 000 UTILISATEURS TOUCHES EN RUSSIE
UN CAS EXTRAORDINAIRE DE VENGEANCE DES HACKERS: 140 000 UTILISATEURS TOUCHES EN RUSSIE
Un groupe de hackers a découvert et signalé un bug dans le plus important réseau de médias sociaux de Russie, VKontakte. Ils n’ont reçu aucun retour des équipes de sécurité de VKontakte pendant toute une année. Pour attirer l’attention du public sur la menace, les hackers ont fait exactement ce qu’ils font le mieux: exploiter le bug.
Vkontakte et leur gestion de la sécurité des utilisateurs
Aussi connu sous le nom de «Facebook russe», VKontakte a été découvert en 2006 à Saint-Pétersbourg. Il est devenu le plus grand réseau de médias sociaux en Russie avec plus de 500 millions de comptes. Le propriétaire du réseau est Mail.ru, le plus grand fournisseur Internet en Russie.
Outre leurs propres équipes de sécurité Web, VKontakte collabore également avec des sociétés telles que Hacker One pour protéger les informations des utilisateurs. Hacker One se consacre à la résolution des vulnérabilités en élaborant des programmes de primes pour la recherche de bogues dans le code du site Web. En quatre ans, le programme a déjà offert 250 000 dollars à titre de récompense pour les bugs signalés, améliorant ainsi la sécurité du réseau de VKontakte en collaborant avec des hackers.
Quand un groupe de développeurs russes appelé Bagosi a trouvé un autre bug dans le code, ils l’ont soumis à Vkontakte. Ils s’attendaient à ce que VKontakte corrige le bug et leur attribue le programme Bug Bounty. Comme ils l’ont expliqué plus tard dans leur message sur VKontakte, personne de VKontakte ou de HackerOne ne les a contactés au cours d’une année. Ils se sont sentis ignorés et ont donc décidé de s’attaquer à la faille. L’attaque visait à attirer l’attention du public sur cette affaire et, donc à améliorer la sécurité des utilisateurs de VKontakte.
Pour démontrer efficacement le danger potentiel, Bagosi a créé un virus inoffensif à une publication sur Vkontakte. Lorsque la publication est affichée, le virus se propage sur le réseau en créant un lien vers la publication VK infectée sur chaque groupe ou page géré par l’utilisateur infecté. Bagosi a publié le virus le 14 février, évitant les contrôles anti-spam de Vkontakte de différentes manières – par exemple, en randomisant les titres ou en utilisant des informations aléatoires provenant des rapports de Google Play Store. Le ver de Bagosi a réussi à atteindre 140 000 utilisateurs de VKontakte en seulement 20 minutes! Les équipes de sécurité de VKontakte ont réagi rapidement et ont supprimé les publications infectées, en bannissant également le compte utilisateur VKontakte de Bagosi.
Les actions des hackers peuvent-elles être justifiées?
En guise de défense, HackerOne a déclaré que VKontakte gère lui-même les rapports de bug au sein de ses propres équipes de sécurité. Avec une réaction organisée et rapide, les équipes de VKontakte ont arrêté l’infection virale en 20 minutes. Vkontakte a également débloqué le compte de Bagosi quand il s’est rendu compte que l’attaque n’était pas destinée à voler des informations personnelles ou à nuire aux utilisateurs de quelque manière que ce soit. Il n’a été lancé que pour démontrer les problèmes de sécurité. Toutefois, selon le développeur Dan Kaminsky, Bagosi aurait dû prouver son point de vue de manière plus conviviale.
Kaminsky a obtenu le titre de «roi de la divulgation responsable» dans le monde informatique après avoir réussi à contrôler un important bug de DNS pendant quelques mois, le temps de trouver une solution. Comme il l’a déclaré à propos de cette affaire, il n’aimait pas trop la façon dont Bagosi résolvait les problèmes. Il a dit qu’envoyer des spams aux utilisateurs ne devrait pas être un moyen de résoudre les problèmes entre développeurs et entreprises car la sécurité des utilisateurs est leur objectif commun. Kaminsky a conclu que bien que l’attaque ne soit pas censée être dommageable, elle a franchi la frontière en manipulant les utilisateurs et le réseau social dont elle essayait d’améliorer la sécurité. Par conséquent, dans l’intérêt des utilisateurs, un moyen plus convivial est nécessaire pour résoudre ce type de problème à l’avenir.
