Le FBI s’est retrouvé emmêlé ce weekend dans un règlement de comptes entre un hacker et un chercheur en cybersécurité. L’un de ses serveurs a été piraté et utilisé pour envoyer de faux e-mails d’avertissement concernant une prétendue faille de sécurité.

au sommaire

    Ce weekend, un hacker a montré à quel point l'un des serveurs du FBI est daté. Le pirate a pu utiliser un simple script pour modifier le fonctionnement d'une page Web et envoyer un faux e-mail en massemasse. Ce message, qui semble donc provenir du FBI, prévient les administrateurs que leurs systèmes ont été compromis.

    Le message aurait été ainsi envoyé à plus de 100.000 adresses e-mail, extraites du registre Internet régionalregistre Internet régional américain (ARIN). Le faux message, qui prétend venir du FBI, tente de discréditer Vinny Troia, chercheur en cybersécurité à la tête des entreprises de renseignement du dark web NightLion et Shadowbyte. Le message semble véridique puisqu'il a été expédié depuis une adresse IP et une adresse e-mail appartenant au FBI, qui a été inondé d'appels d'administrateurs inquiets.

    Un serveur d’inscription du FBI mis en cause

    Selon le spécialiste Brian Krebs, la faille serait due à un portail ouvert aux inscriptions, qui envoie ensuite un code par e-mail pour confirmer l'adresse. Toutefois, le serveur semble particulièrement daté puisque le code, et tout le mail de confirmation, est généré dans le navigateur et envoyé au serveur (via la méthode POST). Il aura suffi d'un simple script pour changer le texte de l'e-mail de confirmation afin de le remplacer par le faux message d'alerte, puis de l'envoyer automatiquement à une liste d'adresses.

    Selon Vinny Troia, le coupable est un individu connu sous le pseudo Pompomourin qui n'en est pas à son premier coup d'essai. La dernière fois, il avait infiltré le site national américain pour les enfants disparus et publié un article accusant Vinny Troia de pédophilie. Le FBI a depuis affirmé avoir corrigé la faille et indiqué que le hacker n'a eu aucun accès à des données confidentielles.