Plus de 20 000 utilisateurs d’Instagram ont peut-être été affectés par une campagne de prise de contrôle de comptes qui a permis aux attaquants de saisir des profils, de bloquer les propriétaires légitimes et de prendre le contrôle de noms d’utilisateur précieux.
Les incidents ont été révélés après que des utilisateurs ont signalé avoir perdu l’accès à leurs comptes sans avertissement. Les victimes ont indiqué que les attaquants modifiaient rapidement les informations de récupération des comptes, les empêchant de reprendre le contrôle une fois la prise de contrôle terminée.
La campagne aurait ciblé un large éventail de comptes, y compris des entreprises, des personnalités publiques, des organisations et des propriétaires de noms d’utilisateur rares ou très recherchés. Certains comptes compromis ont ensuite été annoncés pour la vente via les canaux Telegram, tandis que d’autres ont été dépouillés de noms d’utilisateur précieux pouvant être transférés ou revendus.
Plusieurs comptes importants auraient été affectés. Reuters a identifié parmi les cibles des comptes associés à Sephora, au compte Instagram de la Maison-Blanche d’Obama et au sergent-chef en chef de l’US Space Force John Bentivegna.
Les victimes ont décrit un processus rapide au cours duquel les paramètres de compte ont été modifiés avant qu’elles n’aient l’occasion de répondre. Certains utilisateurs ont déclaré avoir perdu l’accès malgré des mesures de sécurité supplémentaires activées sur leurs comptes.
Les chercheurs ont indiqué que les attaquants exploitaient une faiblesse dans le processus de récupération de comptes de Meta, leur permettant de modifier les informations de récupération liées aux comptes ciblés. Une fois ces informations modifiées, les attaquants pouvaient réinitialiser les mots de passe et prendre le contrôle des profils.
La campagne de prise de contrôle semble s’être fortement concentrée sur des comptes aux noms d’utilisateur recherchés, qui peuvent avoir une valeur significative sur les marchés souterrains. Les chercheurs ont indiqué que des comptes et noms d’utilisateur compromis étaient échangés via des communautés en ligne dédiées à l’achat et à la vente d’actifs sur les réseaux sociaux.
L’ampleur de la campagne a suscité des inquiétudes car elle aurait affecté des milliers d’utilisateurs avant que le problème sous-jacent ne soit traité. Les rapports indiquent que les attaquants ont pu utiliser à plusieurs reprises la même méthode contre plusieurs cibles sur une période relativement courte.
Meta a reconnu le problème et a indiqué avoir corrigé la vulnérabilité qui avait permis les prises de contrôle de comptes. L’entreprise a également indiqué qu’elle travaillait avec les utilisateurs concernés pour rétablir l’accès aux comptes compromis.
L’entreprise n’a pas rendu public le nombre total d’utilisateurs concernés. Cependant, les chercheurs suivant la campagne estiment que plus de 20 000 comptes Instagram ont pu être affectés avant que la faille ne soit corrigée.