Victime d'une attaque, Twitter réinitialise 250 000 mots de passe

Twitter a indiqué vendredi avoir été victime d'une attaque informatique de grande envergure, lors de laquelle des données utilisateur auraient pu être compromises. Le service indique avoir préféré réinitialiser les sessions et les mots de passe de quelque 250 000 comptes.

Peut-être avez-vous, comme nous, reçu dans la nuit de vendredi à samedi un email invitant à la création d'un nouveau mot de passe sur notre compte Twitter. Nulle tentative de phishing ici, le courrier émanait bien de Twitter, qui s'en explique sur son blog. Le site indique qu'en dépit de ses efforts, les données associées à quelque 250 000 ont pu être compromises, d'où cette réinitialisation effectuée au nom du principe de précaution.

« Cette semaine, nous avons détecté des traces récurrentes d'accès inhabituelles qui nous ont conduit à identifier qu'il s'agissait de tentatives d'accéder aux données utilisateur de Twitter. Nous avons découvert une attaque en cours et avons été capable d'y mettre un terme quelques moments plus tard. Néanmoins, notre enquête a montré plus tard que les attaquants ont eu accès à une information utilisateur limitée : comptes utilisateur, adresses email, tokens de sessions et versions chiffrées des mots de passe, pour environ 250 000 utilisateurs », commente Bob Lord, directeur de la sécurité chez Twitter.

Le réseau social n'avance aucune hypothèse quant à la source de l'attaque dont il a été victime, mais place celle-ci au niveau des deux vagues ayant successivement frappé le New York Times et le Washington Post. « Cette attaque n'était pas un travail d'amateurs, et nous ne pensons pas qu'il s'agissait d'un incident isolé », indique encore Bob Lord, qui dit avoir choisi de faire connaitre l'incident plutôt que de le passer sous silence, afin que d'autres puissent s'en prémunir et que les attaquants puissent être pourchassés.

S'il y a volonté de médiatiser l'affaire, l'email reçu par les utilisateurs ne comporte quant à lui aucune mention d'une attaque : « Bonjour. Twitter pense que votre compte a été compromis par un site ou un service non affilié à Twitter. Nous avons réinitialisé votre mot de passe pour empêcher les autres d'accéder à votre compte ».