Comment connaître l’identité de quelqu’un sur Internet ?

En utilisant une petite technique de social engineering et un outil développé dans le cadre du livre « Je sais qui vous êtes », il est possible d’obtenir l’adresse du profil Facebook de n’importe quelle personne cliquant simplement sur un lien piégé. C’est incroyablement utile pour connaître l’identité de quelqu’un sur Internet sans qu’il ne vous la donne « consciemment ».

Cette technique vous servira à doxer une personne qui cherche à être anonyme sur Internet, ou bien à capturer le profil Facebook de toutes les personnes d’une communauté à partir du moment où elles visitent votre lien (honeypot). Revers de la médaille : cela vous montre à quel point vous n’êtes pas anonyme lorsque vous êtes connecté à votre compte Facebook pendant vos sessions de surf.

Stratégie générale de l’attaque

Le schéma suivant explique la stratégie que nous allons suivre.

Je le ré-explique en détaillant la marche à suivre :

1. Vous créez une page fan Facebook totalement bidon (que vous supprimerez à la fin de toutes façons) ;
   1. Cliquez ici : https://www.facebook.com/pages/create/ ;
   2. Choisissez au hasard « personnalisé, auteur » ;
   3. Passez toutes les étapes suivantes, on s’en fiche (« ignorer ») ;
2. Connectez-vous sur le Facebook Profil Stealer et créez votre lien piégé en indiquant l’URL de votre page Facebook fraîchement créée ;
3. Partagez le lien piégé à votre victime, et attendez qu’il clique dessus ;
4. Une fois le piège activé, rendez-vous sur votre page Facebook bidon puis :
   1. Regardez les notifications de votre page, vous devriez en avoir une nouvelle ;
   2. Cliquez sur « notifications » : le profil Facebook de votre cible apparaît clairement ;

Comment ça fonctionne ?

Le lien piégé que vous partagez avec votre cible contient un script de clickjacking qui lui fait liker votre page bidon sans qu’il ne s’en rende compte. À partir du moment où il se rend sur la page de capture, il like votre page. C’est ce qui vous permet de récupérer son identité complète.

Voila comment vous en protéger :

Il y a plusieurs manières de vous protéger de ce genre de script malicieux :

1. Utiliser un bloqueur de « cochonneries », comme Ghostery.  Cette petite extension de navigateur permet de bloquer tout un tas de mouchard pendant votre navigation (publicités, widgets de réseaux sociaux type « likebox » de Facebook, etc…). Ghostery peut supprimer tous les boutons « like », « tweet », « +1 » des pages web que vous visitez. Si vous êtes accroc aux réseaux sociaux, ça peut vous sembler tristounet. Si au contraire vous vous en fichez, foncez ! D’une part vous gagnerez en sécurité, d’autre part vous gagnerez en vitesse de chargement ;
2. Bloquer Javascript dans votre navigateur. Javascript est un langage utilisé pour rendre les pages web plus dynamiques (rien à voir avec Java). Si vous le bloquez, vous éliminez un paquet de problèmes de sécurité. Malheureusement, Javascript est trèèèès utilisé et en le bloquant, vous restreindrez votre accès à beaucoup de sites web légitimes.
3. Ne pas vous connecter à Facebook quand vous n’en avez pas besoin…. c’est un peu lourd mais si vous n’êtes pas accroc à Facebook, ça peut être une solution intéressante. Ou alors, utilisez un navigateur dédié à Facebook.

À n’en pas douter, la méthode 1 est la meilleure des 3. Elle est globalement intelligente (vous allez vous débarrasser d’un tas de mouchards publicitaires et sociaux) et elle est très adaptée au problème. Tout cela, sans causer de changements majeurs dans vos habitudes de surf.

Une vidéo détaillant l’utilisation du Facebook Profil Stealer sera publiée d’ici quelques temps.