"N'acceptez pas XXX comme ami, c'est un virus qui va pirater votre compte!" Combien de fois avons nous reçu un tel mail ou a-t'on rigolé d'un tel statut facebook. Et pourtant, une utilisation détournée du processus de récupération de mot de passe sur Facebook peut effectivement permettre à un utilisateur malicieux d'accéder à votre précieux compte.




Les amis facebook doivent être idéalement vos amis dans la vraie vie
A en voir les statistiques de l'article "Comment pirater n'importe quel compte facebook", il faut bien croire que c'est une préoccupation pour bien des personnes.
Il faut dire qu'avec l'importance du réseau social toujours en expansion dans nos vies, Facebook devient une cible privilégiée pour les pirates, conjoints jaloux ou parfois même les services de police.

On ne le répétera jamais assez, mais il ne faut pas accepter n'importe qui comme ami. Premièrement car cette personne aura bien souvent accès à toutes vos informations (normalement destinées à votre "vrai" cercle de potes) mais aussi car cela peut être la première étape d'un processus de piratage de votre compte. La démo en image!



Trois petits amis et votre compte s'en va
Pour les besoins de la démonstration, j'ai créé trois faux profils facebook. J'ai rajouté une image de profil, rejoins des groupes, ajouté des personnes au hasard en espérant qu'elles m'acceptent. Bref j'ai donné vie à trois "esclaves".

Une semaine après leur création, on peut s'attaquer à notre cible (ici en l’occurrence, mon vrai compte facebook). Il faut faire en sorte qu'elle accepte les invitations des trois esclaves. Utiliser la ruse, se renseigner sur la personne, espacer les demandes d'amis, mettre des canons en photos de profil,...tout est bon.

Une fois les trois esclaves amis avec la cible, le plus dur est fait. Tout d'abord il faut se rendre sur la page d'accueil de facebook et cliquer sur "Mot de passe oublié?". Ensuite il faut choisir une des trois méthodes d'identification du compte de la cible. Le plus simple : saisir son nom d'utilisateur.


On lance la recherche et si tout se passe bien, le nom et la photo de profil de la personne apparait. Il faut confirmer que c'est bien notre compte :


Une première réinitialisation du mot de passe est proposée. Mais si nous utilisons celle-ci, le reset sera envoyé aux comptes mail ou sur le mobile de la victime. Il faut donc déclarer que l'on n'a plus accès à ces comptes :


Facebook demande alors où peut-on nous joindre. C'est le moment pour rentrer une de nos adresses mails :


Deuxième tentative de réinitialisation du mot de passe : la question secrète! Si vous connaissez bien la personne, tant mieux, votre route s'arrêtera peut-être ici. Dans le cas contraire, il faut rentrer trois mauvaises réponses pour sauter cette étape :


C'est alors que commence l'opération pour laquelle on se prépare depuis au moins une semaine : la récupération du mot de passe grâce aux amis.


La sélection des amis se fait comme lorsque l'on souhaite envoyer un mail sur facebook ou partager une application : il y a une liste et on choisit la personne voulue. Ici on doit répéter trois fois l'opération, une pour chaque profil esclave :


Une fois les trois profils esclaves sélectionnés, il faut confirmer...


...et le tour est joué! Dans les trois boites mail des profils esclaves, un mail titré "XXXX YYYY a besoin de votre aide sur Facebook" contient un lien qu'il faut suivre afin de récupérer le code de sécurité :



Une fois les trois codes récupérés, une dernière page à remplir et le compte sera finalement accessible!




Limites
Vous devez vous douter que ce n'est pas aussi facile qu'il n'y parait (quoi que...). Une fois les trois codes de sécurités rentrées, le compte cible sera verrouillé 24h, les trois "amis" et l'ancien mail du propriétaire recevront une notification comme quoi le mot de passe a été changé.
D'ailleurs, juste après l'envoi des codes de sécurité aux amis, le propriétaire reçoit sur son ancien compte mail une "Alerte de sécurité importante de Facebook".

Cela limite donc les risques de se faire pirater. Dorénavant, à défaut de sélectionner ses amis, évitez de rajouter des inconnus avant de partir en vacances (et de le crier sur tous les toits)!