Lorsqu’Elon Musk a récemment acheté Twitter, il a promis de rendre les insaisissables coches bleues qui prouvent qu’un utilisateur est « certifié » accessibles à tous – pour un prix modique, bien sûr. Pour seulement 7,99 dollars par mois, il était prévu que tout utilisateur puisse voir son profil « certifié » par Twitter et obtenir la coche bleue à côté de son pseudo.
Mais depuis que l’initiative a été lancée, le réseau social, connu comme un moyen de répandre des fakenews, a été assaillie par des utilisateurs nouvellement « certifié » qui se font passer pour des fonctionnaires, des célébrités et des journalistes afin de faire des farces et de publier des bêtises satiriques. Si la plupart de ces cas semblent avoir pour but de s’amuser, les implications d’abus plus graves sont claires. Par exemple, un tweet usurpant l’identité de la société pharmaceutique Eli Lilly a pu faire chuter l’action de cette dernière. Après cette vague d’usurpation d’identité, Twitter a mis en pause le programme de paiement pour certification. Cependant, de nombreuses questions concernant ce programme restent sans réponse.
Que se passe-t-il si un utilisateur « certifié » crée un compte pour imiter une banque ou un commerçant, et envoie un DM à des clients potentiels en leur disant qu’ils doivent confirmer leurs informations de paiement ou leurs informations d’identification personnelle (IIP) ? Que se passe-t-il si une célébrité usurpée avec un badge bleu publie un lien pour de faux billets de concert qui redirige les fonds vers le compte d’un hacker ? Que se passe-t-il si des hackers diffusent des informations erronées via le compte usurpé d’un représentant du gouvernement qui incite ses partisans à envoyer des fonds de campagne à une source illégitime ou, pire encore, à inciter à la violence contre des opposants politiques ?
L’utilisateur de Twitter @JackMLawrence a testé la viabilité d’une attaque facilitée par le nouveau système de vérification. Il ne lui a fallu que quelques minutes pour établir les (fausses) références nécessaires pour obtenir une coche bleue :
BlueVoyant met souvent en garde contre les dangers de l’usurpation d’identité sur les médias sociaux et les attaques d’ingénierie sociale menées sur des plateformes populaires comme Twitter, Instagram, LinkedIn et Reddit. Le problème était déjà assez grave auparavant – à quel point est-il facile de créer un compte gratuit sur l’un de ces réseaux et de se faire passer pour quelqu’un que l’on n’est pas ?
Il y a aussi la question de la sécurité des données, car de nombreux responsables de la sécurité, de la conformité et des finances de Twitter ont maintenant démissionné pour protester contre les nouvelles politiques internes. L’entreprise pourrait enfreindre de nombreuses réglementations relatives à la confidentialité des données, mettant en danger les données des utilisateurs et compromettant potentiellement sa capacité à protéger les informations de paiement saisies pour obtenir un badge bleu de certification en premier lieu. Cette situation pourrait avoir de graves répercussions sur les entreprises qui utilisent Twitter comme plateforme publicitaire et les rendre vulnérables à des campagnes de phishing à grande échelle visant à cibler leurs abonnés et leurs utilisateurs. Cette affaire fait suite à la déclaration de l’ancien responsable de la sécurité de Twitter, qui a affirmé que l’entreprise traitait les informations des utilisateurs de manière irresponsable.
Quoi qu’il en soit, l’étendue de ce problème de vérification n’est pas claire pour l’instant, car la pause du système de vérification vient d’entrer en vigueur, mais il sera fascinant de la surveiller au cours des prochains mois.
Que peuvent faire les entreprises pour atténuer les nouveaux risques liés à leur présence sur Twitter ? Il y aura de nombreux rebondissements au fur et à mesure que la situation évoluera, mais pour l’instant, la meilleure façon de minimiser les risques pour la marque est d’obtenir une visibilité sur les menaces qui émergent et de surveiller en permanence les nouveaux profils qui semblent exploiter les ressources, les illustrations et les contenus de la marque de l’entreprise.
C’est là que la protection contre les risques numériques (DRP) entre en jeu. La solution DRP de BlueVoyant détecte les profils suspects sur les médias sociaux qui semblent usurper l’identité d’une marque, valide les menaces, alerte l’entreprise et peut initier des retraits via les relations établies avec les plateformes de médias sociaux comme Twitter.
A propos de BlueVoyant :
BlueVoyant associe des fonctionnalités de cyberdéfense internes et externes dans une plateforme basée sur les résultats, appelée BlueVoyant Elements. Elements est cloud-native et surveille en permanence votre réseau, vos endpoints, votre surface d’attaque et votre supply chain, ainsi que le clear, deep et dark web, à la recherche de vulnérabilités, de risques et de menaces ; et prend des mesures pour protéger votre entreprise, en s’appuyant à la fois sur l’automatisation basée sur le machine learning et sur l’expertise humaine. Elements peut être déployé en tant que solution indépendante ou en tant que plateforme de cyberdéfense à spectre complet. L’approche de BlueVoyant en matière de cyberdéfense s’articule autour de trois piliers clés – la technologie, la télémétrie et le personnel – qui offrent une cybersécurité de pointe à plus de 700 clients dans le monde.