Changer votre mot de passe, c’est Twitter qui alerte !

Piratage ? Fuite de données ? Twitter vient d’annoncer sur son espace blog qu’il fallait changer votre mot de passe de compte. Un bug découvert.

Changer votre mot de passe … cuit ! cuit ! Le moins que l’on puisse dire est que Twitter n’y a pas été de main morte. Alerte sur Twitter, alerte sur son blog ! « Nous venons de déceler un bug qui stockait des mots de passe non masqués dans un journal interne » explique l’équipe technique du réseau social. Le petit oiseau bleu invite donc tous ses utilisateurs à changer purement et simplement leur mot de passe. Une modification par mesure de sécurité. Un moyen de faire bouger les lignes et montrer que le réseau social est pro actif dans la lutte contre les failles pouvant le toucher et dans la sécurisation de ses membres.

Twitter se veut rassurant en expliquant qu’il n’y avait « aucune raison de croire que les informations ont déjà quitté les systèmes de Twitter ou ont été utilisées à mauvais escient par quelqu’un« . Autant dire que si vous utilisez, en plus, la double authentification, vous ne risquez rien et pouvez dormir sur vos deux oreilles. Double authentification indispensable !

Changer votre mot de passe et double authentification

Découverte du bug au moment du chiffrement « hashage » du précieux sésame. Le mot de passe en clair restait dans un journal internet. Bilan, le tour de cache-cache n’était plus efficace.  » Nous avons nous-mêmes trouvé cette erreur. Supprimé les mots de passe. Nous implémentons des plans pour éviter que ce bug ne se reproduise« . Pour changer votre mot de passe, direction l’adresse (et uniquement cette adresse, NDR) : https://twitter.com/settings/password#92829

GitHub aussi…

C’est exactement la même faille qui a touché GitHub, en début de semaine. Dans un mail envoyé par, mercredi, le portail web a averti ses utilisateurs qu’un bug dans sa fonctionnalité de réinitialisation de mot de passe avait « planté ». L’outil enregistré les mots de passe des utilisateurs au format texte brut dans les journaux internes de l’entreprise. La société affirme que les mots de passe en clair n’étaient accessible qu’à des salariés ayant accès à ces journaux. Aucun autre utilisateur de GitHub n’a vu les mots de passe en clair.

Comme Twitter, GitHub explique que normalement, les mots de passe sont sécurisés, car ils sont hachés avec l’algorithme bcrypt. Comme pour Twitter, Seuls les utilisateurs ayant récemment réinitialisé les mots de passe ont été affectés. Bref, dans les deux cas, pas de panique. La loi américaine, comme le RGPD dès le 25 mai 2018, impose d’alerter les clients et les autorités en cas de fuite, piratage, accès non autorisés. Data Security Breach revient d’ailleurs sur plusieurs cas d’école RGPD ayant touché ces derniers jours le secteur de la Santé (Infirmière & un centre hospitalier) ou encore bancaire.

https://twitter.com/bobinson/status/991418187487981568/