Le compte X de Mandiant exposé par une attaque de force brute révèle les dangers de négliger l’authentification à deux facteurs (2FA).

L’enquête de la société de sécurité Mandiant, propriété de Google, sur la manière dont son compte X a été pris en main pour promouvoir des escroqueries liées aux cryptomonnaies, conclut que la cause « probable » était une attaque réussie par force brute sur le mot de passe. La réaction naturelle à cela serait de demander pourquoi l’authentification à deux/multiples facteurs n’a pas empêché cela de se produire. Eh bien, la réponse soigneusement formulée de Mandiant a essentiellement dit qu’elle n’avait pas été mise en œuvre. « Normalement, l’authentification à deux facteurs aurait atténué cela, mais en raison de certains changements d’équipe et d’une modification de la politique d’authentification à deux facteurs de X, nous n’étions pas adéquatement protégés », a-t-elle posté via son compte désormais récupéré. « Nous avons apporté des changements à notre processus pour nous assurer que cela ne se reproduira pas. » Voilà autant de détails que l’entreprise était disposée à partager. Elle n’a pas spécifiquement mentionné le changement de politique que X (alors appelé Twitter) a annoncé en février 2023, consistant à désactiver l’authentification à deux facteurs basée sur les SMS pour les utilisateurs qui ne paient pas pour Twitter Blue, mais certains ont spéculé que cela pourrait être la raison pour laquelle une attaque par force brute était possible. Mandiant n’a aucun compte X avec quelconque type de vérification, un badge de certification grand public, ou un élément distinctif pour les grandes organisations, ce qui signifie qu’elle ne paie pas X et si elle dépendait de l’authentification à deux facteurs basée sur les SMS, celle-ci aurait été supprimée lorsque le changement de politique a eu lieu en mars 2023.