Facebook : des données compromises avec cette nouvelle faille de sécurité
Facebook vient, encore une fois, de subir une brèche dans son système de sécurité. Cette fuite majeure permet de relire les adresses e-mail avec les pseudos des utilisateurs du réseau social américain. Cette faille toucherait plus de 5 millions d’adresses e-mail par jour.
Mardi 20 avril 2021, un chercheur spécialisé dans la cybersécurité découvre une faille majeure chez le géant Facebook. Après avoir indiqué à plusieurs médias la façon dont il a fait cette découverte, il met en ligne une vidéo explicative.
La sécurité de Facebook encore en péril
Ce n’est pas la première fois que Facebook fait face à des problèmes de sécurité. Au début du mois d’avril, le géant Américain a laissé s’échapper plus de 500 millions de numéros de téléphone. Cette faille était pourtant bien connue de Facebook.
Aujourd’hui, la firme américaine fait face à une fuite massive concernant les adresses e-mail de ses usagers. Le logiciel Facebook Email Search v1.0 permet de retrouver les connexions entre des comptes Facebook et les adresses e-mail liées. Et cela, même lorsque les paramètres sont réglés sur le mode privé par l’utilisateur.
Ce logiciel permet de questionner la base de données Facebook autant sur des données rendues publiques que privées. Et c’est de la même manière que les numéros de téléphone étaient ressortis sur la fuite précédente. Pourtant, Facebook assurait une protection accrue des données en rendant, par défaut, privé, le numéro de téléphone de l’utilisateur. Les adresses e-mail liées aux quelque 533 millions de numéros de téléphone divulgués permettraient aux pirates de créer une base de données.
D’après le chercheur en cybersécurité, une démonstration de la faille a été faite à Facebook. Pourtant, le géant Américain a déclaré qu’il « ne considère pas la vulnérabilité être suffisamment importante pour être corrigée« . Le site ArsTechnica a pu obtenir une copie de la vidéo et une retranscription des propos du chercheur. Le tout, en assurant l’anonymat pour ce chercheur en cybersécurité et en ne republiant pas la vidéo.
Depuis ces révélations, Facebook indique une erreur, et aurait réouvert le rapport qui n’avait pas été envoyé à l’équipe appropriée. Le géant Américain affirme avoir corrigé cette faille. Pourtant, depuis ces révélations, plusieurs bases de données pirates ont largement pu être complétées avec les données des utilisateurs du réseau social.
Minimiser et normaliser les fuites de données
Ces fuites à répétition amènent Facebook à prendre une politique radicale. Le site belge Datanews a reçu un e-mail de communication interne de Facebook, envoyé par erreur au journal. Ce dernier décrit avec précision la stratégie de la firme pour minimiser ses problèmes.
En date du 8 avril, ce courrier électronique concerne la région EMEA, Europe, Moyen-Orient et Afrique. La stratégie proposée est définie sur le long terme, et voudrait faire du problème de Facebook un problème à l’échelle de l’industrie. Une stratégie simple, mais très peu sécurisée, banaliser les failles et les fuites de données.
« En supposant que le volume de presse continue de baisser, nous ne prévoyons pas de déclarations supplémentaires sur cette question. À plus long terme, cependant, nous nous attendons à plus d’incidents de grattage et pensons qu’il est important à la fois de le présenter comme un problème général du secteur et de normaliser le fait que cela se produit régulièrement. Pour ce faire, l’équipe propose un post de suivi dans les prochaines semaines qui parle plus largement de notre travail anti-grattage et offre plus de transparence sur la quantité de travail que nous faisons dans ce domaine. Bien que cela puisse refléter un volume important d’activités de grattage, nous espérons que cela aidera à normaliser le fait que cette activité est en cours et à éviter les critiques selon lesquelles nous ne sommes pas transparents sur des incidents particuliers. ».
La stratégie de Facebook est simple, minimiser les conséquences de ces failles pourtant importantes. La firme veut jouer sur le doute, puisque, plus tôt ce mois-ci, LinkedIn et Clubhouse ont été faussement accusés d’avoir subi une fuite massive de leurs données.
