WhatsApp : une grave faille de sécurité permet de bloquer votre compte

WhatsApp est victime d'une grave faille de sécurité. En exploitant cette brèche, un attaquant est capable de bloquer définitivement votre compte sur la messagerie. WhatsApp a promptement mis en garde les internautes qui souhaiteraient utiliser cette astuce pour suspendre le compte d'une connaissance : des sanctions seront mises en place à leur encontre. Néanmoins, la messagerie estime que les attaques de cet acabit sont rares.

En utilisant votre numéro de téléphone, un attaquant à distance est capable de bloquer votre compte WhatsApp, rapportent nos confrères de Forbes. Les chercheurs en cybersécurité Luis Márquez Carpintero et Ernesto Canales Pereña ont en effet découvert une faille dans le fonctionnement de la messagerie instantanée.

Pour parvenir à ses fins, un attaquant peut aisément détourner l'authentification à deux facteurs mis en place par WhatsApp. “Ce piratage pourrait avoir un impact sur des millions d'utilisateurs, ceux-ci pourraient potentiellement être ciblés par cette attaque. Avec tant de gens qui comptent sur WhatsApp comme principal outil de communication à des fins sociales et professionnelles, il est alarmant de voir à quel point cela peut facilement se produire” estime Jake Moore, chercheur en sécurité informatique chez ESET.

Sur le même sujet : piratage de WhatsApp en cours, ne répondez surtout pas à ce message

COMMENT UN ATTAQUANT PEUT BLOQUER UN COMPTE WHATSAPP ?
L'attaque se déroule en plusieurs étapes. Tout d'abord, l'attaquant va utiliser votre numéro de téléphone pour tenter de configurer WhatsApp sur un autre smartphone. Ce numéro peut avoir été récupéré dans une base de données en fuite. Pour vérifier votre identité, l'application de messagerie transmettra des codes de connexion sur votre numéro de téléphone. Vous recevrez alors des codes de connexion que vous n'avez pas réclamé. Si c'est votre cas, on vous conseille de vous méfier. Vous êtes probablement la cible d'une attaque informatique. “N'importe qui peut installer WhatsApp sur un téléphone et entrer votre numéro sur l'écran de vérification” note Forbes.

L'attaquant va demander à tour de bras des codes de connexion WhatsApp en utilisant votre numéro de téléphone. En parallèle, ils entreront des codes incorrects dans l'application. Finalement, l'application de messagerie bloquera la demande de codes par mesure de sécurité. Après un certain nombre d'essais erronés, WhatsApp bloque en effet la demande de codes pendant une période de 12 heures.

Le pirate dispose donc d'une période de douze heures pour mettre le reste de son plan à exécution. Dans un second temps, le pirate va créer une fausse adresse mail à votre nom. Il est excessivement simple de créer une adresse mail avec le nom autrui, notamment sur Gmail. Avec cette adresse factice, il va entrer en contact avec le support client de WhatsApp, support@whatsapp.com. Dans le courriel, il expliquera que son smartphone a été perdu ou volé et réclamera la suspension de votre compte. Le service client interprétera les multiples codes erronés entrés un peu plus tôt comme une preuve de ses assertions.

Sans la moindre vérification préalable, WhatsApp va suspendre votre compte. “Votre numéro de téléphone n'est plus enregistré auprès de WhatsApp sur ce téléphone. C'est peut-être parce que vous l'avez enregistré sur un autre téléphone. Si vous ne l'avez pas fait, vérifiez votre numéro de téléphone pour vous reconnecter à votre compte” affiche un message d'avertissement dans l'application de messagerie. Pour vous reconnecter à votre compte, vous devrez passer par l'authentification à deux facteurs. Malheureusement, l'envoi de codes est toujours désactivé. Pour vous empêcher de récupérer votre compte, l'attaquant peut indéfiniment bloquer l'envoi de codes de connexion en entrant des combinaisons erronées sur un autre téléphone. De facto, la victime est privée de son compte !

Contacté par Forbes, WhatsApp assure que cette tactique enfreint ses conditions d'utilisation. “La fourniture d'une adresse e-mail avec une vérification en deux étapes aide notre équipe de service à la clientèle à aider les gens s'ils rencontrent un jour ce problème improbable. Les circonstances identifiées par ce chercheur violeraient nos conditions d'utilisation et nous encourageons toute personne qui a besoin d'aide à envoyer un courriel à notre équipe de soutien afin que nous puissions enquêter” rassure WhatsApp, estimant visiblement que ce cas de figure est particulièrement rare. L'entreprise, filiale de Facebook, ne précise pas si des mesures seront prises pour éviter ce type d'attaque. “Une évolution vers une plus importante protection de la vie privée aiderait à protéger les utilisateurs contre cela” tacle Jake Moore, déçu par la réaction de la messagerie.