Un défaut majeur dans la sécurité des comptes Facebook a été mis en exergue par un chercheur en sécurité, qui a reçu une prime de 15 000 dollars de la part du géant bleu pour ses efforts.
Anand Prakash a repéré la faille, ce qui lui a permis d’accéder au compte d’un utilisateur sur la plateforme, le mois dernier. Le bug était lié au processus de réinitialisation d’un compte Facebook, qui se traduit l’envoi d’un code PIN à six chiffres sur le smartphone d’un utilisateur afin que ce dernier soit utilisé comme un mot de passe temporaire.
Habituellement, l’individu réinitialisant un compte a la possibilité de saisir un mot de passe erroné 10 à 12 fois. Prakash a remarqué que les mesures de sécurité étaient absentes de la version bêta du site Facebook pour les développeurs, où chaque compte utilisateur est facilement disponible. Par conséquent, le bug a permis à Prakash de faire de multiples suppositions du code PIN, piratant ainsi un compte.
Cependant, au lieu d’exploiter la faille, Prakash a notifié Facebook sur la page de vulnérabilité de sécurité du géant social. Le jour suivant, le réseau social a confirmé que le bug est survenu en raison d’un changement de la version bêta de la page, poussé quelques jours plus tôt. Bien que Facebook assure que cette faille n’ait pas été utilisée à mauvais escient dans ce laps de temps, elle s’est sentie redevable d’offrir 15 000 dollars à Prakash.
4 millions de dollars dépensés avec le bug bounty
« L’un des avantages les plus précieux des programmes de primes sur les bugs (bug bounty) est la capacité à trouver des problèmes avant même qu’ils arrivent en production », a déclaré Facebook dans une déclaration à The Verge. « Nous sommes heureux de reconnaître et récompenser Anand pour son excellent rapport ».
Depuis sa création, le programme bug bounty de Facebook a déboursé plus de 4 millions de dollars pour les hackers et les chercheurs en sécurité pour la divulgation de problèmes dans son système.
