Facebook: une faille permettait le piratage de n'importe quel compte

Une faille permettant d'accéder à n'importe quel compte du réseau social Facebook a été repérée par un hacker indien et chercheur en cybersécurité.

En tant que «white hat», pirate informatique œuvrant pour le bien et la sécurité, il a averti le 22 février dernier le réseau social, qui a corrigé le problème le lendemain.

Comme il l'explique sur son blog, dans un billet intitulé «Comment j'aurais pu pirater tous les comptes Facebook», le bug touchait le processus de réinitialisation de mot de passe. En temps normal, grâce au système de double authentification, Facebook envoie un code temporaire de six chiffres sur le smartphone de l'utilisateur. Après une dizaine d'essais erronés, le compte est bloqué.

Ces mesures de sécurité sont absentes des versions bêta de Facebook (beta.facebook.com et mbasic.beta.facebook.com), sites utilisés par les développeurs et sur lesquels le hacker a mis à jour la faille. En passant par ces sites, Anand Prakash a pu tester les millions de combinaisons possibles sans être inquiété par la limite d'essais. Il a piraté son propre compte pour confirmer cette faille.

En guise de remerciement, la firme de Mark Zuckerberg lui a offert une récompense de 15.000 dollars, conformément à son programme Bug Bounty lancé en 2011.