Faille TikTok : un simple message suffisait à pirater un compte

Une vulnérabilité dans le code de TikTok a permis à des cybercriminels de prendre le contrôle de comptes vérifiés. Le vecteur de l'attaque ? Un simple message privé. La faille a depuis été corrigée par ByteDance, la maison mère de la plateforme.

Cet article va aussi vous intéresser : Comment pirater un compte TikTok ?

Une cyberattaque d'une simplicité déconcertante

Selon les informations relayées par Forbes, il suffisait que la cible ouvre un message pour que l'attaque aboutisse.

Aucune action supplémentaire n'était requise :

• pas besoin de télécharger un fichier ;
• pas besoin de cliquer sur un lien frauduleux ;
• pas besoin d'être redirigé vers une page de phishing.

Le message était conçu pour propager un logiciel malveillant directement sur le smartphone de la victime. Une fois installé, ce programme prenait le contrôle du compte TikTok sans que l'utilisateur ait à valider quoi que ce soit.

Les détails techniques de l'exploitation n'ont pas été rendus publics. On ignore également si la faille concernait toutes les versions de l'application, sur Android comme sur iOS.

Quels comptes ont été touchés ?

Les pirates ont ciblé des comptes à forte visibilité. Parmi les victimes confirmées :

• Paris Hilton ;
• Sony ;
• CNN.

Les motivations des cybercriminels restent inconnues à ce stade. Aucune revendication ni demande de rançon n'a été rendue publique.

La réaction de ByteDance

ByteDance a rapidement détecté l'attaque visant certains comptes. Le groupe a pris des mesures pour protéger ses utilisateurs et affirme que très peu de comptes ont été compromis.

Alex Haurek, porte-parole de TikTok, a déclaré à Forbes :

« Notre équipe de sécurité est au courant d'une attaque potentielle ciblant un certain nombre de comptes de marques et de célébrités. Nous avons pris des mesures pour arrêter cette attaque et l'empêcher de se produire à l'avenir. Nous travaillons directement avec les propriétaires de comptes concernés pour rétablir l'accès, si nécessaire. »

La vulnérabilité a depuis été corrigée. En théorie, il n'est plus possible de détourner un compte TikTok en envoyant un simple message privé.

Pourquoi cette faille est-elle préoccupante ?

Cette affaire illustre une évolution inquiétante des cyberattaques : l'absence d'interaction de la victime.

Dans la majorité des piratages, l'utilisateur doit commettre une erreur :

• cliquer sur un lien piégé ;
• ouvrir une pièce jointe malveillante ;
• installer une application douteuse.

Ici, la simple ouverture d'un message suffisait. Ce type d'attaque, appelé « zero-click » dans sa forme la plus extrême, réduit considérablement les possibilités de défense pour l'utilisateur.

Comment protéger son compte TikTok ?

Même si la faille a été corrigée, quelques réflexes restent essentiels.

1. Mettre à jour l'application

Installez toujours la dernière version de TikTok disponible sur l'App Store ou Google Play. Les correctifs de sécurité y sont intégrés.

2. Activer la double authentification (2FA)

Privilégiez une application d'authentification plutôt qu'un code par SMS.

3. Se méfier des messages inattendus

Même sur une plateforme de confiance, un message privé peut être malveillant. Ne l'ouvrez pas s'il provient d'un compte inconnu ou suspect.

4. Vérifier ses sessions actives

Consultez régulièrement les appareils connectés à votre compte. Déconnectez toute session que vous ne reconnaissez pas.

5. Utiliser un mot de passe unique

Évitez de réutiliser le même mot de passe sur plusieurs services. Un gestionnaire de mots de passe peut vous y aider.

FAQ : questions fréquentes sur la faille TikTok

Fallait-il cliquer sur un lien pour être piraté ?

Non. Il suffisait d'ouvrir le message contenant le code malveillant. Aucun clic sur un lien ni téléchargement n'était nécessaire.

La faille est-elle encore active ?

Non. ByteDance a corrigé la vulnérabilité. Il n'est plus possible, en théorie, de détourner un compte via un simple message.

Quels comptes ont été visés ?

Des comptes de célébrités et d'entreprises, dont Paris Hilton, Sony et CNN.

Combien de comptes ont été piratés ?

TikTok affirme que très peu de comptes ont été compromis. Le nombre exact n'a pas été communiqué.

Que faire si mon compte a été piraté ?

Changez immédiatement votre mot de passe, activez la double authentification, révoquez les sessions actives inconnues, contactez le support TikTok, puis vérifiez les publications et messages envoyés à votre insu.

• Changez immédiatement votre mot de passe.
• Activez la double authentification.
• Révoquez les sessions actives inconnues.
• Contactez le support TikTok.
• Vérifiez les publications et messages envoyés à votre insu.

À retenir

• Une faille dans TikTok permettait de prendre le contrôle d'un compte via un simple message privé.
• Aucune action de la victime n'était nécessaire : ni clic, ni téléchargement.
• Des comptes de célébrités et d'entreprises ont été compromis, dont Paris Hilton, Sony et CNN.
• ByteDance a corrigé la vulnérabilité et affirme que très peu de comptes ont été touchés.
• Les motivations des pirates restent inconnues.
• La mise à jour de l'application et la double authentification restent les meilleures protections.

Cette affaire rappelle qu'une simple interaction, parfois involontaire, peut suffire à compromettre un compte. La vigilance et les mises à jour régulières restent indispensables.