Le FBI met en garde les utilisateurs des réseaux sociaux contre les criminels qui s’introduisent dans des comptes personnels à la recherche de photos et vidéos intimes, qui pourront ensuite être distribuées en ligne ou mises en vente. Les attaques reposent sur plusieurs méthodes, notamment des messages de phishing, de fausses interactions avec le support client et des tentatives de prise de contrôle de comptes en utilisant des mots de passe déjà exposés.
Selon a public service announcement le Internet Crime Complaint Center (IC3) du FBI, les attaquants peuvent cibler des individus particuliers ou élargir leur champ de vision pour rechercher des comptes contenant des documents privés. Après avoir obtenu du contenu intime, des criminels ont été observés en train de le partager via des communautés en ligne ou de tenter de le vendre sur des marchés illicites.
Les conséquences peuvent aller au-delà du vol initial. Le FBI indique que des images volées peuvent être publiées en même temps que des informations identifiables sur la personne concernée, notamment les noms, les dates de naissance, les adresses e-mail, les numéros de téléphone et les noms d’utilisateur des réseaux sociaux. Combiner des éléments intimes avec ces informations peut exposer les victimes à davantage de harcèlement et à des cibles répétés.
Une méthode décrite par le FBI commence par des criminels prétendant représenter l’équipe de support d’une entreprise de réseaux sociaux. Les attaquants peuvent créer des adresses e-mail ou des sites web convaincants et contacter les utilisateurs avec un avertissement fabriqué indiquant que quelqu’un a tenté d’accéder à leur compte.
Le message dirige ensuite le destinataire vers un lien malveillant. Une victime qui suit les instructions peut sans le savoir fournir des informations permettant à l’agresseur d’accéder au vrai compte de réseau social.
Une autre variante porte sur les codes de vérification de compte. Les criminels se faisant passer pour le service client peuvent dire aux utilisateurs que leur compte est sur le point d’être suspendu ou supprimé et affirmer qu’un code de vérification est nécessaire pour empêcher cela. En coulisses, l’attaquant initie une véritable réinitialisation du mot de passe, ce qui pousse la plateforme à envoyer un code d’authentification au titulaire du compte.
Si ce code est remis en charge, le criminel peut l’utiliser pour effectuer la réinitialisation et prendre le contrôle du compte. Le propriétaire légitime peut alors constater que le mot de passe a été changé et que l’accès a été perdu.
Toutes les compromissions-comptes ne nécessitent pas une interaction directe avec la victime. Le FBI met également en garde contre les attaques par mot de passe où des criminels essaient des combinaisons de noms d’utilisateur et de mots de passe jusqu’à trouver des identifiants adaptés. Les informations de connexion révélées lors de violations de données antérieures ou obtenues sur des marchés criminels peuvent être utilisées pour ces tentatives.
Le FBI recommande d’éviter le stockage de photos et vidéos à caractère sexuel sur des comptes de réseaux sociaux ou d’autres services accessibles sur Internet autant que possible. Il est également conseillé aux utilisateurs de protéger les comptes avec des phrases secrètes fortes et uniques et d’activer l’authentification multifactorielle lorsque cela est possible.
Les mots de passe et codes PIN ne doivent pas être basés sur des informations personnelles facilement accessibles comme les dates de naissance ou les noms de membres de la famille. La réutilisation des mots de passe est également risquée car les identifiants exposés lors d’une violation impliquant un service peuvent potentiellement être testés sur d’autres comptes.
Les notifications inattendues de réinitialisation de mot de passe, les avertissements de compte et les messages contenant des liens de connexion doivent être traités avec prudence. Plutôt que de suivre un lien fourni dans un e-mail ou un SMS, les utilisateurs peuvent ouvrir l’application officielle de la plateforme ou visiter manuellement son site web pour vérifier leur compte.
Le FBI insiste également sur le fait que les codes d’authentification et les identifiants de connexion ne devraient pas être fournis à quelqu’un prétendant travailler pour une entreprise de réseaux sociaux. Une demande de ces informations peut elle-même indiquer que quelqu’un tente de prendre le contrôle du compte.