Sécurité IT : les vulnérabilités de Snapchat rendues publiques

En août dernier, le collectif de hackers Gibson Security, basé en Australie, invitait l’éditeur de l’application Snapchat à corriger deux failles de sécurité permettant de créer des faux comptes en masse et d’accéder sans autorisation aux numéros de téléphone des utilisateurs.

L’alerte est restée sans réponse : les vulnérabilités en question sont toujours présentes dans la dernière version du service (4.1.01) sur iOS et Android. Elles pourraient bientôt être activement exploitées du fait de leur publication, le jour de Noël, par les membres de Gibson Security, frustrés que leur avertissement n’ait pas été pris en compte.

Le premier ‘exploit’, dénommé find_friends, consiste à utiliser l’API Snapchat pour écrire un programme qui va générer une liste de numéros de téléphone, puis la parcourir en y associant automatiquement les noms des utilisateurs de l’application. Un serveur loué 10 dollars par mois suffirait à parcourir, en une vingtaine d’heures, l’ensemble de la base d’inscrits, soit 8 millions de comptes au dernier pointage de juin 2013. De ces données personnelles pourraient résulter des profils monnayés à plusieurs dizaines de dollars au marché noir.

L’autre vulnérabilité menace plus indirectement les utilisateurs : elle facilite la création massive de faux comptes (bulk registration), essentiellement pour diffuser du spam. La voici désormais documentée par Gibson Security, qui évoque à ZDNet.com « une technique commune en sécurité informatique […] pour forcer la main à un éditeur afin qu’il améliore sa gestion des bugs et de la sécurité« .

L’enjeu est d’autant plus grand pour Snapchat, qui a fait de la confidentialité l’un de ses chevaux de bataille. La jeune société – fondée en 2011 par Bobby Murphy et Evan Spiegel – surfe sur la prise de conscience globale liée aux révélations autour du programme d’écoutes électroniques mené par les États-Unis. Elle assure n’archiver aucune conversation et met en avant la commodité de son service, conçu pour envoyer des images et des vidéos qui disparaissent après un court laps de temps. Le correspondant reçoit une alerte à l’arrivée d’un nouveau message et dès lors qu’il déclenche la lecture, il dispose d’une, deux, trois ou dix secondes avant que ledit message s’autodétruise.

Le concept a séduit un public plutôt jeune, composé majoritairement d’étudiants qui s’échangent désormais plus de 400 millions de fichiers par mois. Un écosystème désormais officiellement exposée à deux failles de sécurité… parmi d’autres : en janvier, un utilisateur avait constaté qu’il pouvait retrouver, dans son explorateur de fichiers, des vidéos soi-disant ‘effacées’, s’il connectait son téléphone à un PC ou à un Mac. Plus récemment, au mois d’octobre, une application SnapHack permettant de sauvegarder les contenus sans limite de temps est apparue sur l’App Store d’Apple.

—— A voir aussi ——
Quiz ITespresso.fr : d’ICQ à Skype, avez-vous suivi l’évolution de la messagerie instantanée ?

Crédit illustration : Benoit Daoust – Shutterstock.com