Une faille de Twillio expose les données de 1900 utilisateurs Signal

La réputation de Signal s'est en grande partie faite sur sa sécurité. Mais la messagerie n'est pas à l'abri d'un piratage, comme le démontre la dernière histoire en date. La société a confirmé qu'une violation des données chez son partenaire de vérification Twillio a exposé les numéros de téléphone et les codes SMS d'environ 1 900 utilisateurs. Ainsi, un intrus aurait pu utiliser ces informations pour identifier les utilisateurs de Signal ou réenregistrer leurs numéros sur d'autres appareils.

La mauvaise opération pour Signal

En fait, il faut savoir que les données ont déjà été utilisées à mauvais escient. Le coupable a recherché trois numéros de téléphone, et a réenregistré le compte d'un utilisateur. Signal ne stocke pas les historiques de chat ou les contacts en ligne, de sorte que la violation ne devrait pas avoir révélé d'autres détails sensibles.

Signal a bien évidemment pris des mesures pour limiter les dégâts. L'application sera délistée sur tous les appareils liés aux comptes concernés, ce qui obligera les utilisateurs à refaire le processus de connexion complet avec authentification forte. L'équipe a également recommandé d'activer un verrou d'enregistrement qui empêche toute personne de se réenregistrer sur d'autres appareils sans fournir un code PIN.

Twilio a révélé la violation le 8 août. Les auteurs, qui ne sont pas encore identifiés, ont utilisé des techniques d'hameçonnage pour obtenir des informations de connexion et accéder aux comptes de 125 clients. Une portion restreinte donc, même si Twilio est prestataire pour de nombreuses grandes entreprises et organisations.

Cette attaque accroît la pression exercée sur Signal pour qu'il rejoigne les autres fournisseurs de messagerie cryptée et abandonne les numéros de téléphone, qui peuvent être vulnérables aux échanges de cartes SIM et à d'autres stratagèmes basés sur les numéros. Cela rappelle également que les systèmes les plus perfectionnés peuvent être mis à mal par leurs partenaires technologiques - un faux pas chez un tiers est parfois aussi dangereux qu'une attaque directe.

Télécharger l'app gratuite Signal