Les ingénieurs de Twitter disposeraient d'un outil leur permettant d'accéder à n'importe quel compte et d'y tweeter.
Il s'agirait en fait du fameux « GodMode », au centre en 2020 du hack de comptes de grandes personnalités comme Barack Obama, Jeff Bezos, Bill Gates ou même Elon Musk. Twitter avait à l'époque annoncé avoir pris des dispositions pour résoudre le problème. Ce qui ne serait pas si vrai que ça.
Le GodMode passe au « privileged mode »
Les problèmes de sécurité chez Twitter n'auront semble-t-il jamais de fin. Aujourd'hui, on apprend en effet qu'une vieille fonctionnalité que l'on pensait abolie existe encore au sein du réseau. Il s'agit du « GodMode » qui permettait aux employés de l'entreprise de pouvoir poster à partir de n'importe quel compte et qui avait été utilisé par des adolescents pour mener une escroquerie au Bitcoin.
Selon un lanceur d'alerte qui a témoigné devant la Federal Trade Commission (FTC) et le Sénat américain, cette fonction n'aurait jamais été abolie et persisterait sous le nom de « privileged mode ». Les mesures prises par Twitter à l'époque du scandale se résumeraient selon la même source à retirer l'accès par défaut aux ingénieurs. Ces derniers doivent maintenant changer une ligne de code, en la passant de « faux » à « vrai » pour s'ouvrir le service…
Les ingénieurs peuvent tout faire incognito
Ce témoignage vient appuyer les révélations faites au mois d'août dernier par Peiter Zatko, ancien chef de la sécurité de Twitter, sur les nombreux problèmes rencontrés par le réseau. Il avait à l'époque nié la mise à l'arrêt du GodMode.
Le problème est profond, car si n'importe quel ingénieur est en capacité d'accéder à n'importe quel compte sur la planète (dont, par exemple, ceux des chefs d'État) pour y poster, il pourrait aussi supprimer des messages ou, au contraire, remettre en ligne des tweets supprimés. Le pire est qu'il est impossible pour Twitter de savoir si un employé a utilisé cet accès privilégié.
D'après la même source, la direction aurait préservé la fonctionnalité afin de permettre aux employés de publier pour le compte d'annonceurs incapables de le faire eux-mêmes. Cette décision pourrait se payer cher à un moment où Twitter cherche des revenus. Plusieurs personnes au fait du dossier à la FTC avec qui le Washington Post a pu discuter pensent en effet que le régulateur pourrait infliger une amende de près de 1 milliard de dollars si les accusations se concrétisaient.
Sources : Engagdet, Washington Post
