Les pirates se faisaient passer pour les titulaires des comptes en exploitant une faille du Login de Facebook. Les Bitdefender Labs ont révélé une vulnérabilité lors de l'authentification en ligne sur des sites Web tiers via Facebook. Un manque de mesure de sécurité lors de la validation permet aux pirates d'usurper l'identité des internautes et d'accéder, sans mot de passe, à leurs comptes en ligne.

« Il s'agit d'une vulnérabilité grave qui permet aux pirates de créer un compte avec une adresse e-mail ne leur appartenant pas et de changer l'adresse e-mail liée au compte d'un site par une autre adresse non vérifiée », prévient Ionut Cernica, chercheur spécialiste des vulnérabilités chez Bitdefender. « Cela signifie qu'un pirate peut effectuer des paiements en ligne au nom de l'utilisateur, arrêter son moteur antivirus pour infecter ses périphériques, propager des malwares à ses contacts et bien plus encore. »

Pour que l'attaque réussisse, l'adresse e-mail de la victime ne doit pas déjà être enregistrée sur Facebook. La plupart des internautes ont plus d'une adresse e-mail publiée sur différents sites Web, accessibles à tout le monde. Il est donc assez simple pour le pirate d'obtenir une de ces adresses et de créer un compte Facebook avec cette dernière.

Pour vérifier l'identité d'un utilisateur sans exposer ses identifiants d'authentification, Facebook Login utilise le protocole OAuth. Grâce à OAuth, Facebook est autorisé à partager certaines informations de l'utilisateur avec le site Web tiers.

Comment se fait l'usurpation d'identité ?

Bitdefender a réussi à contourner l'étape de confirmation généralement requise lors de l'enregistrement d'une nouvelle adresse e-mail Facebook. L'un de ses chercheurs a créé un compte Facebook avec l'adresse e-mail de la victime.

1 Le pirate crée un nouveau compte Facebook avec l'adresse e-mail de la victime. Après l'inscription, il a remplacé l'adresse e-mail par une autre dont il a le contrôle.

2 Le pirate change l'adresse e-mail de la victime par la sienne

Après actualisation de la page, il apparaît que l'adresse e-mail de la victime a également été validée.
Lorsque le chercheur a tenté de se connecter sur un autre site via le bouton Facebook Login (avec l'adresse e-mail de la victime), il a dû confirmer sa propre adresse e-mail, et non celle de la victime.

3 Le pirate est invité à confirmer sa propre adresse e-mail

Bien que le chercheur de Bitdefender n'ait confirmé que son compte personnel dans les paramètres du compte Facebook, l'adresse de la victime était bien le contact principal.
« J'ai utilisé à nouveau Facebook Login et décidé de mettre mon adresse comme contact principal à la place de celle de la victime, puis de la changer à nouveau pour faire du compte de la victime le compte principal. C'est une étape importante pour reproduire le problème », a ajouté Ionut Cernica.

4 Le pirate définit l'adresse e-mail de la victime comme contact principal

Puis, sur un autre site Web, le chercheur de Bitdefender a utilisé Facebook Login pour se connecter sous l'identité de la victime. Le site a fait le lien entre l'adresse e-mail de la victime (en passant par Facebook) et le compte existant et a permis au chercheur, qui aurait pu être un pirate, de contrôler ce compte. « Le fournisseur d'identité - dans ce cas, Facebook – aurait dû attendre que la nouvelle adresse e-mail ait bien été vérifiée », affirme Ionut Cernica.

Facebook a réparé la vulnérabilité après en avoir été alerté par les Bitdefender Labs.