Comment (presque) se faire voler son compte youtube!

Le youtubeur Jim Browning (dont j'ai partagé une vidéo ici en Mars) a failli se faire voler son compte youtube. Lui qui cherche à débusquer les arnaqueurs, a réussi à se faire arnaquer! Vidéo longue et en anglais mais qui est très intéressante :

My channel was deleted... HOW?


N'oubliez pas d'activer le double facteur d'authentification (à quand la même chose sur Koreus? J'aimerai pas qu'on me vole mon karma)

Le double facteur d'authentification c'est aussi une faille de sécurité.
Il suffit à une personne mal intentionné d'appeler ton opérateur pour rediriger tes sms vers son téléphone , de là il peut reset le mot de passe sans devoir le connaitre.

@Bouroski effectivement, les sms sont à éviter, mais si c'est avec un système du style TOTP c'est plutôt sûr (mais je suis pas expert).

Bizarre cette histoire, l'email qu'il reçoit pue le phishing a des km. Jamais Google n'enverrait un email comme ça ; un lien vers un chat ? Ca en est drôle tellement c'est énorme.

Ensuite il dit vérifier l'expéditeur de l'email, mais n'importe qui peut le changer, ca ne veut absolument rien dire !

Le pire, ou le plus drôle c'est quand c'est lui même qui clique sur la suppression d son compte; soit il est complétement abruti soit c'est du fake pour faire une vidéo pédagogique.

Citation :

En effet. Je demande régulièrement à mes banques de passer au TOTP au lieu de leur satanés SMS (je n'aime pas donner mon numéro de mobile en plus et ça ne fait plus partie des moyens de la loi DSP2). Au moins un tel fixe, c'est plus dur à voler!

D'ailleurs je profite de cette parenthèse, si quelqu'un connaît une banque en € avec authentication TOTP, je veux bien savoir...

(Bien que je n'aime pas Paypal, j'en suis à souhaiter qu'il soit possible d'y avoir un IBAN pour m'en servir de banque parce que tel fixe pratique (on tape le code sur le tel et pas l'inverse) et TOTP possible.)

Dans le cadre de mon boulot, j'ai eu l'occasion d'accéder à une chaîne YouTube pourtant pourvue d'une double authentification Google, en quelques minutes, en connaissant uniquement l'adresse email du compte, et en ayant accès à un carnet d'adresses Outlook.
Le nombre d'options pour valider l'identité du demandeur est beaucoup trop important et donne beaucoup trop d'informations.
Par exemple, lorsque vous faites "mot de passe oublié", Google vous alerte alors "un email a été envoyé à l'adresse pn...@..ne.fr". Il vous suffit alors de trouver dans un annuaire, LinkedIn ou le site de la boîte en question, pour trouver la personne. Dans les entreprises les emails étant très souvent pnom@domaine.fr où p est la 1ere lettrée du prénom. Cherchez alors son numéro de téléphone. Google vous donne même des indices (Envoyer le code au numéro "06.xx.xx.xx.78"). Pour valider votre identité vous pourrez fournir ce numéro à Google, qui vous ouvrira les portes de la chaîne YouTube.