Pendant des années, Facebook a stocké les mots de passe de centaines de millions d’utilisateurs en clair, les rendant accessibles à des milliers d’employés du réseau social. Normalement, les mots de passe sont protégés par un processus qui s'appelle hashing, mais apparemment, une série d’erreurs a conduit certaines applications conçues par des employés de Facebook à stocker les mots de passe des utilisateurs de manière non sécurisée sur les serveurs du réseau social. Selon KrebsonSecurity, entre 200 millions et 600 millions d’utilisateurs de Facebook seraient concernés. Pour certains, leurs mots de passe ont été accessibles par plus de 20 000 employés de Facebook. Selon une source interne de Facebook, le réseau social cherche toujours à savoir combien de mots de passe ont été exposés et pendant combien de temps. Jusqu’à maintenant, l’enquête a permis de découvrir des archives avec des mots de passe stockés en clair datant de 2012.
Selon une source interne de Facebook, les logs d’accès ont montré que 20 000 ingénieurs ou développeurs ont passé quelque 9 millions de requêtes internes pour des éléments de données contenant les mots de passe des utilisateurs en clair.
Facebook a informé qu’un audit de sécurité a permis d’identifier ce problème en janvier. La société a fait savoir qu’elle a réparé cette erreur et que les utilisateurs affectés seront notifiés.
Étrangement, Facebook a minimisé puis confirmé l’ampleur du problème dans le même billet de blog publié jeudi après les révélations du chercheur Brian Krebs. Initialement, Pedro Canahuati, vice-président de l’ingénierie pour la sécurité et la confidentialité de Facebook a informé que les employés de Facebook pouvaient accéder à “quelques” mots de passe des utilisateurs. Par la suite, il révèle que “des centaines de millions d’utilisateurs de Facebook Lite, des millions d’utilisateurs de Facebook et des dizaines de milliers d’utilisateurs d’Instagram” seront notifiées.
Scott Renfro, un ingénieur de Facebook, a confirmé que les utilisateurs affectés seront notifiés, mais ils n’auront pas à changer leurs mots de passe.
« Jusqu’à présent dans nos enquêtes, nous n’avons trouvé aucun cas où quelqu’un a intentionnellement cherché des mots de passe, ou des signes d’abus des données, » a dit Renfro. « Dans cette situation, nous avons constaté que ces mots de passe avaient été enregistrés par inadvertance, mais qu'il n'y avait pas de risque réel qui en découlait. Nous voulons nous assurer de réserver ces étapes et de ne forcer un changement de mot de passe que dans les cas où il y a eu des signes évidents d'abus. ».
Facebook n’est pas la première société à faire ce faux-pas. Récemment, Github et Twitter ont été forcés eux aussi à admettre que des mots de passe utilisateur ont été stockés en clair. Mais contrairement à Facebook, ils étaient accessibles à un nombre restreint d’employés et pendant une période de temps plus limitée.
Décidément, les maladresses de Facebook avec la sécurité et la confidentialité n’en finissent pas. Ce scandale est juste le dernier d’une série de problèmes qu’a connus l’entreprise. Juste au début de ce mois, le réseau social a été vivement critiqué par les experts en sécurité pour l’usage qu’il réserve aux numéros de téléphone ajoutés par les utilisateurs pour des raisons de sécurité (comme le marketing, la publicité et la recherche de profils). Les pratiques de Facebook ont attiré l’attention du Congrès américain et le réseau social fait même l’objet d’une enquête criminelle.
Il n’est pas clair pourquoi Facebook a attendu deux mois pour confirmer cet incident, toutefois, si vous utilisez toujours Facebook, malgré tous ces scandales, vous serez peut-être notifiés si le réseau social pense que vous êtes affectés. Dans tous les cas, il serait mieux de changer votre mot de passe.
Cet incident révèle une fois encore combien il est important d’utiliser un mot de passe unique pour chaque site. Même si le site web stocke les mots de passe de manière appropriée, rien ne garantit que les identifiants ne seront pas divulgués d’une façon ou d’un quatre, tel que dans ce cas, des systèmes de logs mal configurés. À l’avenir, WebAuthn, une norme de sécurité qui a été développée par le World Wide Web Consortium (W3C) et la FIDO (Fast IDentity Online) Alliance, sera peut-être en mesure de résoudre définitivement ce problème, car les sites n'auront accès qu'à une clé publique unique plutôt qu'à un mot de passe en texte clair. D'ici là, un gestionnaire de mots de passe reste votre meilleure défense pour se prémunir contre ce genre de maladresses.
Source : krebsonsecurity - facebook
Et vous ?
Qu’en pensez-vous ? Pensez-vous qu'une société telle que Facebook a le droit de faire ce genre de maladresses ? Pensez-vous pouvoir faire confiance à Facebook après autant de scandales ? Voir aussi
Facebook est confronté à de nouvelles questions sur le moment où il a eu connaissance de la collecte de données de Cambridge Analytica Chris Cox, chef des produits chez Facebook, et un autre dirigeant démissionnent à cause du projet d'unification de Messenger, Whatsapp et Instagram Un simple changement dans la configuration des serveurs de Facebook a provoqué une panne mondiale, qui a duré six heures USA : les accords de partage de données de Facebook avec des dizaines d'entreprises, font désormais l'objet d'une enquête criminelle Le cofondateur de WhatsApp qui a vendu la société à Facebook pour 19 milliards de $ dit aux étudiants de supprimer leur compte Facebook 
Envoyé par Jonathan
Trop de gens oublient qu'internet ce n'est pas les réseaux sociaux, les moteurs de recherches ou quelques sites web et c'est bien malheureux.