L’arnaque OTP sur Snapchat : anatomie d’une attaque ayant compromis plus de 750 comptes

Introduction

Un jeune homme de vingt-six ans de l’Illinois a été condamné à six ans et quatre mois de prison pour avoir orchestré, entre 2020 et 2021, une vaste campagne d’intrusion sur Snapchat. L’attaquant a ciblé plus de 4 500 victimes potentielles, parvenant à compromettre les comptes d’environ 750 femmes et à en dérober des images intimes, souvent pour les revendre ou sur commande de tiers. Cette affaire illustre à quel point les techniques d’ingénierie sociale peuvent rendre inefficaces même les mécanismes de sécurité les plus répandus, tels que les codes à usage unique (OTP).

Analyse technique

L’attaque s’est appuyée sur une chaîne de phishing psychologique (vishing et smishing). Le pirate récupérait les numéros de téléphone ou les pseudos de femmes actives sur Snapchat via les réseaux sociaux et les canaux publics. Ensuite, à l’aide de numéros anonymisés ou d’applications de messagerie, il contactait chaque victime en se faisant passer pour un employé officiel de Snap Inc. Sous prétexte d’urgence – connexions suspectes, vérifications de sécurité – il la persuadait de lire le code OTP que la plateforme envoyait sur son téléphone, déclenché par la tentative de connexion de l’attaquant depuis un nouvel appareil.

Une fois le code obtenu, le pirate terminait l’authentification et prenait le contrôle total du compte. Il téléchargeait immédiatement toutes les images privées (y compris les stories et les messages) et activait une nouvelle authentification à deux facteurs (2FA) avec une méthode sous son contrôle (par exemple une application d’authentification), excluant ainsi la propriétaire légitime.

L’attaquant ne se contentait pas d’accumuler du butin : sur Kik Messenger – plateforme chiffrée – il faisait la promotion de son « service » de piratage à la demande et échangeait le matériel volé. Outre les photos d’adultes, il conservait et distribuait du matériel pédopornographique (CSAM) via des comptes Mega, où il stockait plus de 1 100 fichiers. Dans au moins un cas, il a compromis les comptes d’étudiantes universitaires à la demande d’un ancien entraîneur, lui-même condamné par la suite.

D’un point de vue technique, l’élément le plus insidieux réside dans la manipulation du facteur humain. La 2FA basée sur OTP perd toute efficacité si la victime divulgue volontairement le code, et l’activation ultérieure d’une 2FA hostile rend la récupération du compte complexe, puisque le propriétaire légitime ne peut plus passer l’étape de vérification.

Impact

L’impact sur les victimes a été profond : au-delà du vol de données personnelles et de la diffusion non consentie d’images intimes, beaucoup ont subi des préjudices psychologiques et réputationnels. L’exclusion forcée de leur compte a amplifié leur sentiment d’impuissance. Sur le plan pénal, cette affaire a mis en lumière le trafic de CSAM, le cyberharcèlement et la sextorsion. Pour Snap Inc., cette histoire représente une atteinte à la réputation et un signal d’alarme sur la nécessité de renforcer les défenses contre le phishing ciblé et d’éduquer plus efficacement les utilisateurs.

Atténuation

Pour les utilisateurs :

• Ne jamais communiquer à des tiers, par téléphone ou message, les codes OTP, mots de passe ou PIN, même si la personne qui les demande prétend appartenir au support technique.
• Remplacer, lorsque cela est possible, la 2FA par SMS par des applications d’authentification (TOTP) ou des clés matérielles, plus difficiles à intercepter par ingénierie sociale.
• Toujours vérifier l’identité de la personne qui vous contacte en utilisant les canaux officiels (e‑mail certifié, notifications in-app) et signaler immédiatement les tentatives suspectes.
• Surveiller les notifications de connexion et de modification des paramètres de sécurité ; si des changements non autorisés sont constatés, contacter au plus vite le support légitime.

Pour les plateformes :

• Renforcer les moteurs de détection des anomalies, tels que les connexions depuis des appareils ou des zones géographiques inhabituelles, ou l’activation d’une nouvelle 2FA immédiatement après une connexion.
• Envoyer des notifications push et des e‑mails clairs pour chaque modification critique (par exemple changement de mot de passe, nouvelle 2FA), en incluant un lien permettant d’annuler l’opération dans les minutes qui suivent.
• Investir dans des campagnes éducatives permanentes expliquant aux utilisateurs que le personnel officiel ne demandera jamais de codes OTP.
• Accélérer les procédures de blocage et de suppression des comptes qui usurpent l’identité de l’entreprise.

FAQ

1. Comment le pirate obtenait-il les codes OTP sans avoir physiquement le téléphone de la victime ?
L’attaquant utilisait l’ingénierie sociale : il contactait la victime en se faisant passer pour Snapchat et la persuadait de lui communiquer le code que l’application générait à ce moment‑là. Comme c’est la victime elle-même qui fournissait le code, toutes les protections cryptographiques étaient contournées.

2. Pourquoi l’authentification à deux facteurs n’a-t-elle pas protégé les victimes ?
La 2FA avec OTP ne fonctionne que si le code reste secret. Persuadée de parler à un responsable de la sécurité, la victime a volontairement partagé le code, annulant ainsi le facteur de protection. Ensuite, le pirate a mis en place sa propre 2FA, prenant ainsi le contrôle exclusif du compte.

3. Quelles leçons une plateforme comme Snapchat doit-elle tirer ?
Elle doit rendre sans équivoque le message selon lequel aucun opérateur ne demandera jamais un OTP ou un mot de passe. De plus, il est crucial d’implémenter des systèmes automatiques qui reconnaissent les comportements suspects – par exemple l’activation d’une nouvelle 2FA juste après une connexion – et de fournir aux utilisateurs