Une faille dans la récupération de compte Instagram permettait d’afficher les adresses email et numéros de téléphone sans masquage.
Instagram corrige une faille qui exposait emails et numéros de téléphone
Le formulaire « Mot de passe oublié » pouvait afficher les coordonnées complètes associées à un compte Instagram.
Instagram a corrigé une faille assez gênante dans son système de récupération de compte.
Normalement, quand on utilise la fonction « Mot de passe oublié », Instagram affiche seulement une partie de l’adresse email ou du numéro de téléphone associé au compte.
Le but est de permettre au propriétaire de reconnaître son moyen de récupération, sans dévoiler l’information complète à n’importe qui.
Mais pendant plusieurs heures, le formulaire web aurait affiché les adresses email et numéros de téléphone sans le masquage habituel. Il suffisait donc de connaître le nom d’utilisateur d’un compte pour potentiellement récupérer ses coordonnées.
Des captures partagées par des chercheurs montrent que des comptes très connus, dont celui de Mark Zuckerberg, étaient concernés.
La faille ne semble pas avoir exposé les mots de passe. Elle ne permettait pas non plus, à elle seule, de prendre le contrôle d’un compte. Mais une adresse email ou un numéro de téléphone peut servir au phishing, au harcèlement, au SIM swapping ou à retrouver l’identité derrière un compte anonyme.
Meta aurait déployé un correctif rapidement après la publication des premières démonstrations.
Le nombre de comptes consultés pendant la fenêtre d’exposition n’est pas connu, et aucune communication technique détaillée de Meta n’est disponible pour le moment.
Cette faille rappelle que les pages de récupération de mot de passe sont elles-mêmes une source d’informations sensibles. Une donnée partiellement masquée est déjà un indice. Une donnée affichée en entier devient directement exploitable.
Côté utilisateur, quelques réflexes restent utiles :
- activer l’authentification à deux facteurs avec une application
- utiliser une adresse email dédiée pour les comptes importants
- se méfier des messages qui reprennent des informations personnelles
- vérifier les connexions et coordonnées associées au compte
- éviter la récupération par SMS quand une meilleure option existe
Changer son mot de passe n’efface pas une adresse email ou un numéro déjà exposé. Le plus important est de renforcer le compte et de rester attentif aux tentatives de phishing qui pourraient utiliser ces informations.
Source : 01net