Microsoft’s X account hacked in crypto pump-and-dump scheme

Piratage du compte X officiel de Microsoft : une arnaque aux cryptomonnaies

Le compte X officiel de Microsoft (@Microsoft), suivi par plus de 13 millions d’abonnés, a été compromis par des attaquants cherchant à promouvoir une escroquerie de type « pump-and-dump » (gonfler pour revendre). Les pirates ont utilisé le compte pour relayer des publications frauduleuses liées à un jeton crypto nommé « $Clippy », utilisant sans autorisation la propriété intellectuelle de l’entreprise. Microsoft a depuis sécurisé son accès, supprimé les publications malveillantes et confirmé qu’aucune cryptomonnaie n’est associée à la marque.

Points clés :

• Mode opératoire : Les attaquants ont pris le contrôle du compte et partagé des publications provenant d’autres comptes imposteurs pour donner une fausse légitimité au jeton $Clippy.
• Récurrence : Il s’agit d’une cible privilégiée ; le compte Microsoft India avait déjà été piraté en juin 2024 pour diffuser des logiciels malveillants de type « wallet drainer ».
• Contexte : Ce type d’attaque contre des organisations vérifiées est en forte recrudescence sur la plateforme X, visant à manipuler les marchés ou à dérober des actifs numériques.

Vulnérabilités :

• Bien que la méthode exacte d’intrusion ne soit pas précisée dans cet incident, des vecteurs tels que le SIM-swapping (déjà identifié lors du piratage du compte @SECGov) ou le vol de sessions via phishing restent des vulnérabilités critiques pour les comptes à haut profil ne bénéficiant pas de protections robustes. Aucune CVE spécifique n’est associée à cet incident de compte, le problème relevant principalement de la gestion des accès et de l’authentification.

Recommandations :

• Authentification multifacteur (MFA) : Privilégier l’usage de clés de sécurité physiques (FIDO2) plutôt que les SMS ou les applications d’authentification basées sur le temps, afin de contrer le SIM-swapping.
• Gestion des accès : Appliquer le principe du moindre privilège aux accès des comptes réseaux sociaux des entreprises et limiter le nombre d’applications tierces connectées à ces comptes.
• Surveillance proactive : Mettre en place des outils de détection d’anomalies sur les activités de connexion et surveiller les mentions de la marque pour identifier rapidement toute usurpation d’identité.

Source