‘Le compte X brute-forcé de Mandiant expose les dangers de négliger la double authentification (2FA).’

L’enquête de Mandiant, la société de sécurité appartenant à Google, sur la prise de contrôle de son compte X pour promouvoir des escroqueries liées aux cryptomonnaies, conclut que la cause « probable » était une attaque réussie par force brute de mot de passe. La réaction naturelle à cela serait de se demander pourquoi l’authentification à deux/multi-facteurs n’a pas empêché cela de se produire. Eh bien, la réponse soigneusement formulée de Mandiant indiquait essentiellement que cela n’avait pas été mis en place. « Normalement, l’authentification à deux facteurs aurait atténué cela, mais en raison de certains changements d’équipe et d’un changement de politique concernant l’authentification à deux facteurs de X, nous n’étions pas adéquatement protégés », a-t-elle publié via son compte désormais récupéré. « Nous avons apporté des modifications à notre processus pour éviter que cela ne se reproduise. » Voilà autant de détails que la société était disposée à révéler. Elle n’a pas spécifiquement mentionné le changement de politique que X (alors appelé Twitter) avait annoncé en février 2023, consistant à désactiver l’authentification à deux facteurs basée sur les SMS pour les utilisateurs n’ayant pas souscrit à Twitter Blue, mais certains ont spéculé que cela pourrait être la raison pour laquelle une attaque par force brute était possible. Mandiant ne dispose pas d’un compte X avec une sorte de vérification, d’un badge bleu grand public ou d’un badge jaune d’une grande organisation, ce qui signifie qu’elle ne paie pas X et si elle avait compté sur l’authentification à deux facteurs basée sur les SMS, cela aurait été supprimé lorsque le changement de politique a eu lieu en mars 2023.