{"id":10840,"date":"2018-08-17T08:00:20","date_gmt":"2018-08-17T08:00:20","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=10840"},"modified":"2018-11-30T12:05:47","modified_gmt":"2018-11-30T12:05:47","slug":"hacking-online-accounts-via-voice-mail","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/hacking-online-accounts-via-voice-mail\/10840\/","title":{"rendered":"Les cybercriminels utilisent votre messagerie vocale pour d\u00e9tourner vos comptes en ligne"},"content":{"rendered":"<p>Qui utilise encore sa messagerie vocale\u00a0? La plupart des gens r\u00e9pondent spontan\u00e9ment \u00a0\u00bb\u00a0personne\u00a0\u00ab\u00a0. Vrai et faux. Il est certain que la majorit\u00e9 des gens n\u2019utilisent plus la messagerie vocale, mais de nombreux abonn\u00e9s disposent encore de ce service qui continue de fonctionner correctement, m\u00eame s\u2019il a \u00e9t\u00e9 un peu n\u00e9glig\u00e9.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-10843\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2018\/08\/21075701\/hacking-online-accounts-by-voice-mail-featured1.jpg\" alt=\"\" width=\"1460\" height=\"960\"><\/p>\n<p>N\u2019oubliez pas\u00a0: ce n\u2019est pas parce que vous n\u2019utilisez pas votre messagerie vocale que personne ne s\u2019en sert. Dans le rapport \u00a0\u00bb\u00a0Compromising online accounts by cracking voicemail systems\u00a0\u00a0\u00bb pr\u00e9sent\u00e9 \u00e0 DEF CON 26 par le chercheur <a href=\"https:\/\/twitter.com\/martin_vigo\" target=\"_blank\" rel=\"noopener nofollow\">Martin Vigo<\/a>, il a \u00e9t\u00e9 d\u00e9montr\u00e9 que votre messagerie vocale peut int\u00e9resser les intrus qui cherchent \u00e0 pirater vos comptes en ligne.<\/p>\n<p>En r\u00e9alit\u00e9, la plupart des op\u00e9rateurs autorisent l\u2019acc\u00e8s \u00e0 votre messagerie vocale non seulement depuis votre t\u00e9l\u00e9phone, mais aussi depuis un num\u00e9ro de t\u00e9l\u00e9phone externe, et dans ce cas l\u2019acc\u00e8s est prot\u00e9g\u00e9 par un code PIN. Cependant, les codes PIN des messageries vocales ne sont pas vraiment prot\u00e9g\u00e9s. De nombreux abonn\u00e9s utilisent les codes par d\u00e9faut fournis par l\u2019op\u00e9rateur, c\u2019est-\u00e0-dire les derniers chiffres du num\u00e9ro de t\u00e9l\u00e9phone, ou un code assez simple comme 1111 ou 1234.<\/p>\n<p>De plus, m\u00eame si l\u2019utilisateur prend la peine de changer le code PIN, il est fort probable que l\u2019escroc arrive \u00e0 le deviner\u00a0; <a href=\"http:\/\/www.datagenetics.com\/blog\/september32012\/\" target=\"_blank\" rel=\"noopener nofollow\">comme le montre cette \u00e9tude<\/a>, les gens sont encore moins inspir\u00e9s lorsqu\u2019ils doivent choisir un code PIN que quand il s\u2019agit d\u2019un mot de passe.<\/p>\n<p>Le code PIN comprend g\u00e9n\u00e9ralement quatre chiffres, m\u00eame si en th\u00e9orie, il est possible d\u2019en choisir un plus long. Ensuite, beaucoup d\u2019utilisateurs d\u00e9cident d\u2019utiliser une s\u00e9quence simple \u00e0 m\u00e9moriser avec quatre chiffres identiques ou des combinaisons comme 1234, 9876, 2580 (les chiffres de la ligne verticale d\u2019un clavier de t\u00e9l\u00e9phone), et autres codes similaires. Les codes PIN qui commencent par 19xx sont aussi tr\u00e8s courants. Gr\u00e2ce \u00e0 ces donn\u00e9es \u00e9tranges, il est plus facile et plus rapide de craquer le code de votre messagerie vocale.<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/Z9kO4VmN1FM?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Pas besoin de passer une par une et manuellement toutes les combinaisons possibles\u00a0; un script peut le faire pour vous puisqu\u2019il appelle le num\u00e9ro de la messagerie vocale, et saisit les diff\u00e9rentes combinaisons en mode tonalit\u00e9. Cela signifie qu\u2019il est possible d\u2019attaquer votre messagerie vocale par force brute, mais aussi en utilisant des ressources assez l\u00e9g\u00e8res. Vous pouvez alors vous dire\u00a0: \u00a0\u00bb\u00a0Et alors\u00a0? Il n\u2019y a rien d\u2019important dans ma messagerie vocale.\u00a0\u00a0\u00bb Du moins c\u2019est ce que vous pensez.<\/p>\n<h3><strong>Comment pirater votre compte PayPal ou WhatsApp gr\u00e2ce \u00e0 votre messagerie vocale<\/strong><\/h3>\n<p>Lorsque vous r\u00e9initialisez votre mot de passe, les services en ligne les plus importants vous proposent, entre autres, de vous appeler au num\u00e9ro mentionn\u00e9 dans votre profil et de vous envoyer un code de v\u00e9rification.<\/p>\n<p>Le cybercriminel n\u2019a qu\u2019\u00e0 deviner le code PIN de la messagerie vocale et attendre que le t\u00e9l\u00e9phone de la victime soit \u00e9teint, ou sans couverture r\u00e9seau, par exemple en mode avion. Ensuite, il peut tout simplement demander \u00e0 r\u00e9initialiser le mot de passe du service en ligne et choisir l\u2019appel comme m\u00e9thode de v\u00e9rification puisqu\u2019il tombera directement sur la messagerie vocale.<\/p>\n<p>Martin Vigo a montr\u00e9 comment cette technique peut \u00eatre utilis\u00e9e pour d\u00e9tourner un compte WhatsApp.<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/-n2NCc5TnCE?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Certaines ressources en ligne utilisent des processus de v\u00e9rification l\u00e9g\u00e8rement diff\u00e9rents\u00a0: le service refait le num\u00e9ro de t\u00e9l\u00e9phone associ\u00e9 au compte, et demande \u00e0 l\u2019utilisateur d\u2019entrer les chiffres qui apparaissent sur la page de r\u00e9initialisation du mot de passe. Cependant, cette m\u00e9thode de v\u00e9rification peut \u00eatre d\u00e9tourn\u00e9e en utilisant un simple tour qui consiste \u00e0 enregistrer le message de bienvenu de la messagerie vocale en utilisant les tonalit\u00e9s des touches du clavier qui correspondent aux chiffres du code de r\u00e9initialisation.<\/p>\n<p>PayPal est un des services en ligne qui utilisent ce genre de syst\u00e8me de v\u00e9rification. Martin Vigo a aussi r\u00e9ussi \u00e0 craquer ce syst\u00e8me\u00a0:<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/itEVmcirta0?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Nous n\u2019avons mentionn\u00e9 que quelques exemples. En r\u00e9alit\u00e9, beaucoup de services appellent automatiquement le num\u00e9ro de t\u00e9l\u00e9phone associ\u00e9 \u00e0 un compte pour v\u00e9rifier l\u2019authenticit\u00e9 d\u2019une demande de r\u00e9initialisation d\u2019un mot de passe, ou pour envoyer un code d\u2019authentification \u00e0 deux facteurs \u00e0 usage unique.<\/p>\n<h3><strong>Comment se prot\u00e9ger des piratages qui utilisent votre messagerie vocale<\/strong><\/h3>\n<ul>\n<li>Envisagez de compl\u00e8tement d\u00e9sactiver votre messagerie vocale\u00a0; de toute fa\u00e7on vous ne vous en servez pas vraiment.<\/li>\n<li>Si vous avez besoin d\u2019une messagerie vocale, utilisez un code PIN s\u00fbr. Pour commencer, il devrait compter plus de quatre chiffres. Plus il y en a, mieux c\u2019est. Ensuite, il devrait \u00eatre <a href=\"http:\/\/www.datagenetics.com\/blog\/september32012\/\" target=\"_blank\" rel=\"noopener nofollow\">difficile de deviner<\/a> votre combinaison, et il serait pr\u00e9f\u00e9rable qu\u2019elle soit choisie au hasard.<\/li>\n<li>Ne communiquez pas le num\u00e9ro de t\u00e9l\u00e9phone associ\u00e9 \u00e0 vos comptes en ligne \u00e0 tout va. Plus il est difficile de lier un num\u00e9ro de t\u00e9l\u00e9phone \u00e0 votre identit\u00e9 en ligne, mieux c\u2019est.<\/li>\n<li>Essayez de ne pas associer votre num\u00e9ro de t\u00e9l\u00e9phone \u00e0 un service en ligne si ce n\u2019est pas une condition pr\u00e9alable, ou n\u00e9cessaire, pour l\u2019authentification \u00e0 deux facteurs.<\/li>\n<li>Servez-vous d\u2019une authentification \u00e0 deux facteurs\u00a0; id\u00e9alement une application comme Google Authenticator ou un p\u00e9riph\u00e9rique comme <a href=\"https:\/\/www.kaspersky.fr\/blog\/cinq-facons-de-proteger-vos-photos-personnelles\/4825\/\" target=\"_blank\" rel=\"noopener\">YubiKey<\/a>.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Lorsque l\u2019on parle de comptes en ligne, votre messagerie vocale est une faille importante en mati\u00e8re de s\u00e9curit\u00e9.<\/p>\n","protected":false},"author":421,"featured_media":10841,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6,686],"tags":[1214,282,813,1066,1183,3092,3093,586,124,1095,590],"class_list":{"0":"post-10840","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-news","8":"category-threats","9":"tag-2fa","10":"tag-authentification-a-deux-facteurs","11":"tag-black-hat","12":"tag-blackhat","13":"tag-def-con","14":"tag-def-con-26","15":"tag-messagerie-vocale","16":"tag-paypal","17":"tag-piratage","18":"tag-services-en-ligne","19":"tag-whatsapp"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/hacking-online-accounts-via-voice-mail\/10840\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/hacking-online-accounts-via-voice-mail\/13944\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/11643\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/15943\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/hacking-online-accounts-via-voice-mail\/14230\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/13303\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/hacking-online-accounts-via-voice-mail\/16722\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/hacking-online-accounts-via-voice-mail\/16131\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/hacking-online-accounts-via-voice-mail\/21092\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/23499\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/hacking-online-accounts-via-voice-mail\/10761\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/hacking-online-accounts-via-voice-mail\/9612\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/hacking-online-accounts-via-voice-mail\/17485\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/hacking-online-accounts-via-voice-mail\/21300\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/hacking-online-accounts-via-voice-mail\/17135\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/hacking-online-accounts-via-voice-mail\/20814\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/hacking-online-accounts-via-voice-mail\/20815\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/def-con\/","name":"DEF CON"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/10840","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/421"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=10840"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/10840\/revisions"}],"predecessor-version":[{"id":10844,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/10840\/revisions\/10844"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/10841"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=10840"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=10840"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=10840"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}