Depuis le début du mois d’août, des centaines d’utilisateurs d’Instagram, pour la plupart anglophones, signalent sur les réseaux sociaux avoir que leur compte a été piraté et est inutilisable. Mot de passe mais aussi nom d’utilisateur, photo de profil pour certains ou encore adresse e-mail ont été modifiés à leur insu, les empêchant ainsi de récupérer l’accès et de garder le contrôle de leur compte sur la plateforme de partage de photos, selon plusieurs témoignages de victimes adressés au site spécialisé Mashable.

Si ce piratage semble cibler des utilisateurs quelconques compte par compte, Mashable a toutefois constaté des similitudes dans la manière d’opérer du ou des pirates : les adresses e-mail changées, et auxquels les comptes compromis sont désormais liées, se terminent toutes par. ru, le nom de domaine de la Russie. Plusieurs victimes ont vu leur compte piraté en dépit du fait qu’elles avaient activé l’authentification à deux facteurs. Ce système demande, pour se connecter à un compte, d’entrer non seulement un mot de passe, mais aussi un code – le plus souvent envoyé par SMS. Il complique très fortement la tâche des pirates potentiels, mais n’est pas totalement infaillible, notamment parce qu’un SMS peut être intercepté.

Pirates de SIM

En juillet dernier, Instagram avait justement confirmé avoir retravaillé son système de double authentification pour proposer, à l’image de Google, une alternative qui ne nécessiterait pas d’avoir recours à un SMS pour accéder de façon sécurisée à son compte. Cette annonce, relayée par le site TechCrunch, était intervenue après une enquête de Motherboard sur les « pirates de cartes SIM », les hackeurs qui détournent des numéros de téléphone pour prendre possession de comptes de services Internet, dont Instagram, afin de les revendre au marché noir.

Pendant plusieurs jours, et encore mercredi 15 août selon les constatations du Monde, de nombreux détenteurs de comptes Instagram piratés en appelaient à l’aide du réseau social, via le compte Twitter de l’entreprise, afin de récupérer l’accès à leur compte. Plutôt en vain. Toutefois, mardi 14 août, la filiale de Facebook a assuré « enquêter sur le problème » dans un communiqué.