Des quantités de données personnelles, dont des numéros de téléphone, obtenues à partir de 533 millions de comptes Facebook par l'utilisation abusive d'une fonctionnalité avant 2019 ont été proposées gratuitement à tous sur un forum consacré au piratage ce week-end. Facebook Inc n'avait pas notifié ces utilisateurs à l’époque et n'a pas actuellement l'intention de le faire, selon un porte-parole de l'entreprise. Au lieu de cela, Facebook dit que cette fuite est une vieille histoire, et son billet de mardi semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la "sécurité".La base de données librement échangée en ligne comprend des numéros de téléphone, des adresses électroniques, des dates de naissance, le nom des personnes, leur état civil, leur profession et leur localisation. Le déversement des données en ligne a été signalé par Alon Gal, cofondateur et directeur technique de la startup de sécurité informatique Hudson Rock. L'ensemble de ces données représente plus de 70 Go, selon des rapports. Le prix de la base de données aurait baissé, et elle est désormais gratuite.
Mais Facebook tient à faire abstraction de cette affaire. Il nous dit que le vol de données a fait la une des journaux en 2019 et que la faille de sécurité exploitée a été comblée la même année. Dans un billet de blog publié mardi, Facebook a déclaré que des « acteurs malveillants » avaient obtenu ces données avant septembre 2019, « non pas en piratant nos systèmes », mais en « grattant » des profils en utilisant une vulnérabilité dans l'outil de synchronisation des contacts de la plateforme.
Nous pensons que les données en question ont été grattées à partir des profils Facebook des personnes par des acteurs malveillants utilisant notre importateur de contacts avant septembre 2019. Cette fonctionnalité a été conçue pour aider les gens à trouver facilement leurs amis avec lesquels se connecter sur nos services en utilisant leurs listes de contacts.
Lorsque nous avons pris conscience de la façon dont les acteurs malveillants utilisaient cette fonctionnalité en 2019, nous avons apporté des modifications à l'importateur de contacts. Dans ce cas, nous l'avons mis à jour pour empêcher les acteurs malveillants d'utiliser un logiciel pour imiter notre application et télécharger un grand ensemble de numéros de téléphone pour voir lesquels correspondent aux utilisateurs de Facebook. Grâce à la fonctionnalité précédente, ils étaient en mesure d'interroger un ensemble de profils d'utilisateurs et d'obtenir un ensemble limité d'informations sur ces utilisateurs inclus dans leurs profils publics.
Les utilisateurs touchés par la fuite de données ne sont pas tenus informés jusqu’à présent
Le porte-parole de Facebook a déclaré que la société de médias sociaux n'était pas sûre d'avoir une visibilité totale sur les utilisateurs qui devraient être notifiés. Il a ajouté que l'entreprise avait également tenu compte du fait que les utilisateurs ne pouvaient pas résoudre le problème et que les données étaient accessibles au public pour décider de ne pas informer les utilisateurs. Selon Facebook, les informations extraites ne comprenaient pas d'informations financières, d'informations sur la santé ou de mots de passe, et qu’il a colmaté la brèche après avoir identifié le problème à l'époque.
Mais cela ne change rien au fait que les informations volées circulent en ligne depuis près de trois ans et que, même si tout s'est passé en 2019, il est peu probable que les noms, dates de naissance, coordonnées et autres données aient changé pendant ce temps. Au lieu de cela, il est probable que les données soient encore largement utiles à être exploitées pour les fraudeurs - en supposant que la grande majorité des utilisateurs ont mis les bonnes informations sur leurs profils et non de fausses infos juste au cas où ce genre de vol se produirait.
La fonction d'importation de contacts permet aux nouveaux utilisateurs de télécharger leurs listes de contacts et de les comparer aux numéros stockés dans les profils des personnes. Mais comme la plupart des meilleures fonctionnalités de Facebook, la société ne l'a pas assez sécurisée au grand bonheur des pirates.
Mais, au lieu de reconnaître son dernier échec en matière de protection des données des utilisateurs, Facebook a fait comme en 2018 lors du scandale Cambridge Analytica qui a impliqué les données de 87 millions d'utilisateurs, en tentant de recadrer la défaillance de sécurité comme une simple violation de ses conditions de service. Ainsi, au lieu de s'excuser de ne pas avoir réussi à sécuriser les données des utilisateurs ou d’avoir omis d’informer les utilisateurs, le directeur de la gestion des produits de Facebook, Mike Clark, a commencé son billet de blog en faisant un point sémantique sur la façon dont les données ont été divulguées.
« Il est important de comprendre que des acteurs malveillants ont obtenu ces données non pas en piratant nos systèmes, mais en les raclant de notre plateforme avant septembre 2019 », a écrit Clark.
Gal, qui a signalé la première fois la divulgation des données personnelles, a déclaré : « Premièrement, j'aimerais que Facebook reconnaisse la...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par tanaka59
)
