Facebook ne prévoit pas d’informer le demi-milliard d’utilisateurs touchés par la fuite des données

Ce serait de votre faute si des pirates ont obtenu votre numéro de téléphone.

Des quantités de données personnelles, dont des numéros de téléphone, obtenues à partir de 533 millions de comptes Facebook par l’utilisation abusive d’une fonctionnalité avant 2019 ont été proposées gratuitement à tous sur un forum consacré au piratage ce week-end.

Facebook Inc n’avait pas notifié ces utilisateurs à l’époque et n’a pas actuellement l’intention de le faire, selon un porte-parole de l’entreprise. Au lieu de cela, Facebook dit que cette fuite est une vieille histoire, et son billet de mardi semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la « sécurité ».

La base de données librement échangée en ligne comprend des numéros de téléphone, des adresses électroniques, des dates de naissance, le nom des personnes, leur état civil, leur profession et leur localisation. Le déversement des données en ligne a été signalé par Alon Gal, cofondateur et directeur technique de la startup de sécurité informatique Hudson Rock. L’ensemble de ces données représente plus de 70 Go, selon des rapports. Le prix de la base de données aurait baissé, et elle est désormais gratuite.

Mais Facebook tient à faire abstraction de cette affaire. Il nous dit que le vol de données a fait la une des journaux en 2019 et que la faille de sécurité exploitée a été comblée la même année. Dans un billet de blog publié mardi, Facebook a déclaré que des « acteurs malveillants » avaient obtenu ces données avant septembre 2019, « non pas en piratant nos systèmes », mais en « grattant » des profils en utilisant une vulnérabilité dans l’outil de synchronisation des contacts de la plateforme.

Nous pensons que les données en question ont été grattées à partir des profils Facebook des personnes par des acteurs malveillants utilisant notre importateur de contacts avant septembre 2019. Cette fonctionnalité a été conçue pour aider les gens à trouver facilement leurs amis avec lesquels se connecter sur nos services en utilisant leurs listes de contacts.

Lorsque nous avons pris conscience de la façon dont les acteurs malveillants utilisaient cette fonctionnalité en 2019, nous avons apporté des modifications à l’importateur de contacts. Dans ce cas, nous l’avons mis à jour pour empêcher les acteurs malveillants d’utiliser un logiciel pour imiter notre application et télécharger un grand ensemble de numéros de téléphone pour voir lesquels correspondent aux utilisateurs de Facebook. Grâce à la fonctionnalité précédente, ils étaient en mesure d’interroger un ensemble de profils d’utilisateurs et d’obtenir un ensemble limité d’informations sur ces utilisateurs inclus dans leurs profils publics.

Les utilisateurs touchés par la fuite de données ne sont pas tenus informés jusqu’à présent

Le porte-parole de Facebook a déclaré que la société de médias sociaux n’était pas sûre d’avoir une visibilité totale sur les utilisateurs qui devraient être notifiés. Il a ajouté que l’entreprise avait également tenu compte du fait que les utilisateurs ne pouvaient pas résoudre le problème et que les données étaient accessibles au public pour décider de ne pas informer les utilisateurs. Selon Facebook, les informations extraites ne comprenaient pas d’informations financières, d’informations sur la santé ou de mots de passe, et qu’il a colmaté la brèche après avoir identifié le problème à l’époque.

Mais cela ne change rien au fait que les informations volées circulent en ligne depuis près de trois ans et que, même si tout s’est passé en 2019, il est peu probable que les noms, dates de naissance, coordonnées et autres données aient changé pendant ce temps. Au lieu de cela, il est probable que les données soient encore largement utiles à être exploitées pour les fraudeurs – en supposant que la grande majorité des utilisateurs ont mis les bonnes informations sur leurs profils et non de fausses infos juste au cas où ce genre de vol se produirait.

La fonction d’importation de contacts permet aux nouveaux utilisateurs de télécharger leurs listes de contacts et de les comparer aux numéros stockés dans les profils des personnes. Mais comme la plupart des meilleures fonctionnalités de Facebook, la société ne l’a pas assez sécurisée au grand bonheur des pirates.

Mais, au lieu de reconnaître son dernier échec en matière de protection des données des utilisateurs, Facebook a fait comme en 2018 lors du scandale Cambridge Analytica qui a impliqué les données de 87 millions d’utilisateurs, en tentant de recadrer la défaillance de sécurité comme une simple violation de ses conditions de service. Ainsi, au lieu de s’excuser de ne pas avoir réussi à sécuriser les données des utilisateurs ou d’avoir omis d’informer les utilisateurs, le directeur de la gestion des produits de Facebook, Mike Clark, a commencé son billet de blog en faisant un point sémantique sur la façon dont les données ont été divulguées.

« Il est important de comprendre que des acteurs malveillants ont obtenu ces données non pas en piratant nos systèmes, mais en les raclant de notre plateforme avant septembre 2019 », a écrit Clark.

Gal, qui a signalé la première fois la divulgation des données personnelles, a déclaré : « Premièrement, j’aimerais que Facebook reconnaisse la fuite et l’importance de celle-ci. Deuxièmement, ils devraient alerter tous les utilisateurs que cela s’est produit et que les utilisateurs soient attentifs aux attaques imminentes d’ingénierie sociale et de piratage. Enfin, je pense que Facebook devrait faire changer les identifiants Facebook pour empêcher les mauvais acteurs de relier les numéros de téléphone aux profils Facebook par le biais de la fuite comme cela peut être fait actuellement, ce n’est qu’un petit pas, mais un pas crucial. »

Le billet de blog de Clark ne dit pas quand le « scraping » a eu lieu ni combien de fois la vulnérabilité a été exploitée. Clark a également omis de mentionner que Facebook a été informé de cette vulnérabilité dès 2017, lorsque Inti De Ceukelaire, un hacker éthique belge, a divulgué le problème à l’entreprise, selon un tweet.

Ce serait de votre faute si des pirates ont obtenu vos données personnelles

Dans son billet, le directeur de la gestion des produits de Facebook semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la « sécurité ». En effet, Facebook collecte les numéros de téléphone des utilisateurs depuis une décennie, en prétendant initialement que cela faisait partie des protocoles de sécurité de la plateforme. Mais en réalité, Facebook utilisait simplement ces données pour l’aider à vendre plus de publicités et à cibler plus d’utilisateurs – une violation de la confiance des utilisateurs que la Federal Trade Commission (FTC) a décidé de sanctionner par une amende de 5 milliards de dollars en 2019. Facebook a dit dans son billet :

Bien que nous ayons réglé le problème identifié en 2019, il est toujours bon pour tout le monde de s’assurer que leurs paramètres s’alignent sur ce qu’ils veulent partager publiquement. Dans ce cas, la mise à jour du contrôle « Comment les gens vous trouvent et vous contactent » pourrait être utile. Nous recommandons également aux gens de faire des vérifications régulières de la confidentialité pour s’assurer que leurs paramètres sont au bon endroit, y compris qui peut voir certaines informations sur leur profil et activer l’authentification à deux facteurs.

Faire des vérifications régulières pour tenir sécuriser leurs propres informations est une chose difficile pour la plupart des utilisateurs du plus grand des réseaux sociaux, surtout si l’on considère à quel point les menus de paramètres de l’entreprise peuvent être byzantins et complexes.

Dans son communiqué, l’entreprise n’a pas également expliqué pourquoi un certain nombre d’utilisateurs qui ont supprimé leurs comptes bien avant 2018 ont vu leurs numéros de téléphone apparaître dans cette base de données accessible par tous.

Bien que Facebook tente de minimiser la gravité de la fuite, ce n’est pas à l’entreprise seule qu’il revient de décider de la gravité de la situation. La Commission irlandaise de protection des données, le principal régulateur de l’Union européenne pour Facebook qui a le pouvoir d’infliger une amende pouvant atteindre 4 % du chiffre d’affaires mondial, a déclaré mardi qu’elle avait contacté l’entreprise au sujet de la fuite de données.

« Le CPD a tenté pendant le week-end d’établir l’ensemble des faits et continue de le faire. Il n’a reçu aucune communication proactive de la part de Facebook. Par le biais d’un certain nombre de canaux, elle a cherché à entrer en contact avec Facebook et à obtenir des réponses », a déclaré un porte-parole dans un communiqué publié mardi.

La violation de données est probablement couverte par les nouvelles règles strictes de l’Europe en matière de protection de la vie privée, connues sous le nom de Règlement général sur la protection des données (RGPD), qui sont entrées en vigueur en mai 2018. Les attaquants avaient la possibilité de collecter des données auprès de Facebook jusqu’au 5 juin 2019 au moins, selon les experts qui ont analysé la fuite.

Facebook pourrait également avoir des ennuis aux États-Unis pour avoir omis de signaler la violation de données au moment où elle s’est produite. Le règlement de la FTC de juillet 2019 oblige Facebook à communiquer les détails concernant l’accès non autorisé aux données de 500 utilisateurs ou plus dans les 30 jours suivant la confirmation d’un incident.

Si Facebook ne tient pas à informer le demi-milliard d’utilisateurs touchés par la fuite, il existe un moyen plus pratique d’obtenir de l’aide. Troy Hunt, consultant en cybersécurité et fondateur de “Have I Been Pwned”, a téléchargé l’intégralité de la base de données ayant fait l’objet de la fuite sur son site Web, qui permet à chacun de vérifier si son numéro de téléphone y figure.

Sur son blog, Hunt explique avoir constaté un pic de trafic sans précédent depuis l’annonce de la fuite de 533 millions de numéros de téléphone (dont près de 20 millions de Français, soit environ la moitié des utilisateurs de l’Hexagone). Il est revenu sur la proposition qui lui avait été faite, il y a 5 ans et demi, de permettre une recherche à partir d’un numéro de téléphone compromis, et pas seulement à partir d’une adresse email, comme c’était le cas jusqu’à lors.

« Aujourd’hui j’ai jeté un coup d’œil sur haveibeenpwned, et il semble que je fasse partie de ceux dont les données ont fuité. Après avoir relu tous les événements de cette brèche, il semble que l’exploit ait été corrigé en août 2019 (comme l’affirme Facebook). J’avais supprimé mon compte environ 2 ans avant cela. Soit ces attaquants ont eu accès pendant plus de 2 ans, soit Facebook n’a pas supprimé mes données, et probablement celles de tout le monde non plus. Que peut faire une personne, ou peut-être toutes les personnes concernées, dans ce scénario ? », s’est interrogé un commentateur impliqué dans la fuite de données. Et vous, êtes-vous concernés vous aussi ?

Lire aussi : Facebook : une fuite montre que Mark Zuckerberg utilise Signal

Sources : Developpez – Facebook, Tweets (1 & 2)