IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Facebook ne prévoit pas d'informer le demi-milliard d'utilisateurs touchés par la fuite des données,
Ce serait de votre faute si des pirates ont obtenu votre numéro de téléphone

Le , par Stan Adkens

364PARTAGES

11  0 
Des quantités de données personnelles, dont des numéros de téléphone, obtenues à partir de 533 millions de comptes Facebook par l'utilisation abusive d'une fonctionnalité avant 2019 ont été proposées gratuitement à tous sur un forum consacré au piratage ce week-end. Facebook Inc n'avait pas notifié ces utilisateurs à l’époque et n'a pas actuellement l'intention de le faire, selon un porte-parole de l'entreprise. Au lieu de cela, Facebook dit que cette fuite est une vieille histoire, et son billet de mardi semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la "sécurité".

La base de données librement échangée en ligne comprend des numéros de téléphone, des adresses électroniques, des dates de naissance, le nom des personnes, leur état civil, leur profession et leur localisation. Le déversement des données en ligne a été signalé par Alon Gal, cofondateur et directeur technique de la startup de sécurité informatique Hudson Rock. L'ensemble de ces données représente plus de 70 Go, selon des rapports. Le prix de la base de données aurait baissé, et elle est désormais gratuite.


Mais Facebook tient à faire abstraction de cette affaire. Il nous dit que le vol de données a fait la une des journaux en 2019 et que la faille de sécurité exploitée a été comblée la même année. Dans un billet de blog publié mardi, Facebook a déclaré que des « acteurs malveillants » avaient obtenu ces données avant septembre 2019, « non pas en piratant nos systèmes », mais en « grattant » des profils en utilisant une vulnérabilité dans l'outil de synchronisation des contacts de la plateforme.

Nous pensons que les données en question ont été grattées à partir des profils Facebook des personnes par des acteurs malveillants utilisant notre importateur de contacts avant septembre 2019. Cette fonctionnalité a été conçue pour aider les gens à trouver facilement leurs amis avec lesquels se connecter sur nos services en utilisant leurs listes de contacts.

Lorsque nous avons pris conscience de la façon dont les acteurs malveillants utilisaient cette fonctionnalité en 2019, nous avons apporté des modifications à l'importateur de contacts. Dans ce cas, nous l'avons mis à jour pour empêcher les acteurs malveillants d'utiliser un logiciel pour imiter notre application et télécharger un grand ensemble de numéros de téléphone pour voir lesquels correspondent aux utilisateurs de Facebook. Grâce à la fonctionnalité précédente, ils étaient en mesure d'interroger un ensemble de profils d'utilisateurs et d'obtenir un ensemble limité d'informations sur ces utilisateurs inclus dans leurs profils publics.


Les utilisateurs touchés par la fuite de données ne sont pas tenus informés jusqu’à présent

Le porte-parole de Facebook a déclaré que la société de médias sociaux n'était pas sûre d'avoir une visibilité totale sur les utilisateurs qui devraient être notifiés. Il a ajouté que l'entreprise avait également tenu compte du fait que les utilisateurs ne pouvaient pas résoudre le problème et que les données étaient accessibles au public pour décider de ne pas informer les utilisateurs. Selon Facebook, les informations extraites ne comprenaient pas d'informations financières, d'informations sur la santé ou de mots de passe, et qu’il a colmaté la brèche après avoir identifié le problème à l'époque.

Mais cela ne change rien au fait que les informations volées circulent en ligne depuis près de trois ans et que, même si tout s'est passé en 2019, il est peu probable que les noms, dates de naissance, coordonnées et autres données aient changé pendant ce temps. Au lieu de cela, il est probable que les données soient encore largement utiles à être exploitées pour les fraudeurs - en supposant que la grande majorité des utilisateurs ont mis les bonnes informations sur leurs profils et non de fausses infos juste au cas où ce genre de vol se produirait.

La fonction d'importation de contacts permet aux nouveaux utilisateurs de télécharger leurs listes de contacts et de les comparer aux numéros stockés dans les profils des personnes. Mais comme la plupart des meilleures fonctionnalités de Facebook, la société ne l'a pas assez sécurisée au grand bonheur des pirates.

Mais, au lieu de reconnaître son dernier échec en matière de protection des données des utilisateurs, Facebook a fait comme en 2018 lors du scandale Cambridge Analytica qui a impliqué les données de 87 millions d'utilisateurs, en tentant de recadrer la défaillance de sécurité comme une simple violation de ses conditions de service. Ainsi, au lieu de s'excuser de ne pas avoir réussi à sécuriser les données des utilisateurs ou d’avoir omis d’informer les utilisateurs, le directeur de la gestion des produits de Facebook, Mike Clark, a commencé son billet de blog en faisant un point sémantique sur la façon dont les données ont été divulguées.

« Il est important de comprendre que des acteurs malveillants ont obtenu ces données non pas en piratant nos systèmes, mais en les raclant de notre plateforme avant septembre 2019 », a écrit Clark.

Gal, qui a signalé la première fois la divulgation des données personnelles, a déclaré : « Premièrement, j'aimerais que Facebook reconnaisse la fuite et l'importance de celle-ci. Deuxièmement, ils devraient alerter tous les utilisateurs que cela s'est produit et que les utilisateurs soient attentifs aux attaques imminentes d'ingénierie sociale et de piratage. Enfin, je pense que Facebook devrait faire changer les identifiants Facebook pour empêcher les mauvais acteurs de relier les numéros de téléphone aux profils Facebook par le biais de la fuite comme cela peut être fait actuellement, ce n'est qu'un petit pas, mais un pas crucial ».

Le billet de blog de Clark ne dit pas quand le "scraping" a eu lieu ni combien de fois la vulnérabilité a été exploitée. Clark a également omis de mentionner que Facebook a été informé de cette vulnérabilité dès 2017, lorsque Inti De Ceukelaire, un hacker éthique belge, a divulgué le problème à l'entreprise, selon un tweet.


Ce serait de votre faute si des pirates ont obtenu vos données personnelles

Dans son billet, le directeur de la gestion des produits de Facebook semble faire peser sur les utilisateurs la responsabilité de protéger les données que Facebook lui-même demandait aux utilisateurs de remettre au nom de la "sécurité". En effet, Facebook collecte les numéros de téléphone des utilisateurs depuis une décennie, en prétendant initialement que cela faisait partie des protocoles de sécurité de la plateforme. Mais en réalité, Facebook utilisait simplement ces données pour l'aider à vendre plus de publicités et à cibler plus d'utilisateurs - une violation de la confiance des utilisateurs que la Federal Trade Commission (FTC) a décidé de sanctionner par une amende de 5 milliards de dollars en 2019. Facebook a dit dans son billet :

Bien que nous ayons réglé le problème identifié en 2019, il est toujours bon pour tout le monde de s'assurer que leurs paramètres s'alignent sur ce qu'ils veulent partager publiquement. Dans ce cas, la mise à jour du contrôle "Comment les gens vous trouvent et vous contactent" pourrait être utile. Nous recommandons également aux gens de faire des vérifications régulières de la confidentialité pour s'assurer que leurs paramètres sont au bon endroit, y compris qui peut voir certaines informations sur leur profil et activer l'authentification à deux facteurs.

Faire des vérifications régulières pour tenir sécuriser leurs propres informations est une chose difficile pour la plupart des utilisateurs du plus grand des réseaux sociaux, surtout si l'on considère à quel point les menus de paramètres de l'entreprise peuvent être byzantins et complexes.

Dans son communiqué, l'entreprise n'a pas également expliqué pourquoi un certain nombre d'utilisateurs qui ont supprimé leurs comptes bien avant 2018 ont vu leurs numéros de téléphone apparaître dans cette base de données accessible par tous.


Bien que Facebook tente de minimiser la gravité de la fuite, ce n'est pas à l'entreprise seule qu'il revient de décider de la gravité de la situation. La Commission irlandaise de protection des données, le principal régulateur de l'Union européenne pour Facebook qui a le pouvoir d'infliger une amende pouvant atteindre 4 % du chiffre d'affaires mondial, a déclaré mardi qu'elle avait contacté l'entreprise au sujet de la fuite de données.

« Le CPD a tenté pendant le week-end d'établir l'ensemble des faits et continue de le faire. Il n'a reçu aucune communication proactive de la part de Facebook. Par le biais d'un certain nombre de canaux, elle a cherché à entrer en contact avec Facebook et à obtenir des réponses », a déclaré un porte-parole dans un communiqué publié mardi.

La violation de données est probablement couverte par les nouvelles règles strictes de l'Europe en matière de protection de la vie privée, connues sous le nom de Règlement général sur la protection des données (RGPD), qui sont entrées en vigueur en mai 2018. Les attaquants avaient la possibilité de collecter des données auprès de Facebook jusqu'au 5 juin 2019 au moins, selon les experts qui ont analysé la fuite.

Facebook pourrait également avoir des ennuis aux États-Unis pour avoir omis de signaler la violation de données au moment où elle s'est produite. Le règlement de la FTC de juillet 2019 oblige Facebook à communiquer les détails concernant l'accès non autorisé aux données de 500 utilisateurs ou plus dans les 30 jours suivant la confirmation d'un incident.

Si Facebook ne tient pas à informer le demi-milliard d'utilisateurs touchés par la fuite, il existe un moyen plus pratique d'obtenir de l'aide. Troy Hunt, consultant en cybersécurité et fondateur de "Have I Been Pwned", a téléchargé l'intégralité de la base de données ayant fait l'objet de la fuite sur son site Web, qui permet à chacun de vérifier si son numéro de téléphone y figure.

Sur son blog, Hunt explique avoir constaté un pic de trafic sans précédent depuis l'annonce de la fuite de 533 millions de numéros de téléphone (dont près de 20 millions de Français, soit environ la moitié des utilisateurs de l’Hexagone). Il est revenu sur la proposition qui lui avait été faite, il y a 5 ans et demi, de permettre une recherche à partir d'un numéro de téléphone compromis, et pas seulement à partir d'une adresse email, comme c'était le cas jusqu'à lors.

« Aujourd'hui j'ai jeté un coup d'œil sur haveibeenpwned, et il semble que je fasse partie de ceux dont les données ont fuité. Après avoir relu tous les événements de cette brèche, il semble que l'exploit ait été corrigé en août 2019 (comme l'affirme Facebook). J'avais supprimé mon compte environ 2 ans avant cela. Soit ces attaquants ont eu accès pendant plus de 2 ans, soit Facebook n'a pas supprimé mes données, et probablement celles de tout le monde non plus. Que peut faire une personne, ou peut-être toutes les personnes concernées, dans ce scénario ? », s’est interrogé un commentateur impliqué dans la fuite de données. Et vous, êtes-vous concernés vous aussi ?

Sources : Facebook, Tweets (1 & 2)

Et vous ?

Qu’en pensez-vous ?
Avez-vous vérifié sur haveibeenpwned ? Vos données sont-elles concernées par la fuite ?
Que peut faire un utilisateur dont les informations personnelles sont contenues dans les données divulguées ?

Voir aussi :

La FTC inflige une amende de 5 milliards de dollars à Facebook, et apporte des clauses qui "réduisent considérablement le pouvoir de Mark Zuckerberg"
Facebook aurait trompé ses utilisateurs sur la façon dont il utilisait leurs numéros de téléphone et son outil de reconnaissance faciale, selon la FTC
533 millions de numéros de téléphone et de données personnelles d'utilisateurs de Facebook ont été divulgués en ligne, 20 millions appartiennent à des utilisateurs en France
Scandale CA : Facebook estime à plus de 87 millions les comptes concernés par le profilage, et annonce des mesures pour mieux protéger les données

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Kayzenne
Membre du Club https://www.developpez.com
Le 08/04/2021 à 11:27
Qu’en pensez-vous ?

C'est hallucinant de constater que même à l'echelle de Facebook, ce genre d'incident est encore trop commun.

Avez-vous vérifié sur haveibeenpwned ? Vos données sont-elles concernées par la fuite ?

Je viens de vérifier et oui... Or je tiens à préciser que mon numéro de téléphone n'a été "public" (seulement mes amis) durant une courte période entre 2012 et 2015. Depuis tous mes paramètres de confidentialité sont au maximum.
Plusieurs éléments relevés concernant la suppression des données et la communication de FaceBook par rapport à ces failles sont une fois de plus à remettre en question.
En espérant que la justice fasse son travail.
7  0 
Avatar de pcdwarf
Membre éclairé https://www.developpez.com
Le 21/04/2021 à 14:56
Pour que des données ne "fuient" pas, il faut commencer par ne pas les créer sans nécessité, et surtout ne pas les confier à des tiers dont tout le modèle économique repose sur leur exploitation.
8  1 
Avatar de maxtal
Nouveau membre du Club https://www.developpez.com
Le 25/10/2021 à 12:10
Ça me semble légitime de poursuivre l'auteur de ce hold-up, mais je trouve ça étonnant que facebook ne soit pas inquiété pour manquement. C'est eux qui sont responsables de l'intégrité et la sécurités des données de leurs utilisateurs il me semble.
6  0 
Avatar de phil995511
Membre confirmé https://www.developpez.com
Le 21/04/2021 à 12:57
FB est une boîte vraiment ignoble qui diffusent vos données personnelles en douce totalement illégalement dans votre dos, le pire étant qu'ils trouvent cela normal... on devrait prendre des mesures très sérieuses à leur encontre en Europe.

"En supposant que le volume de la presse continue de diminuer, nous ne prévoyons pas de déclarations supplémentaires sur cette question. À plus long terme, cependant, nous nous attendons à davantage d'incidents de scraping et nous pensons qu'il est important à la fois d'en faire un problème industriel général et de normaliser le fait que cette activité se produit régulièrement."

Perso ça fait belle lurette que j'ai résilié mon compte chez eux, je m'étonne du fait qu'ils aient encore des abonnés.
6  1 
Avatar de plegat
Expert éminent https://www.developpez.com
Le 21/04/2021 à 17:16
Citation Envoyé par tanaka59 Voir le message

Une fuite de donnée n'ai en rien "normal". Si les équipes IT de chez Facebook sont des bras cassés de la sécu IT ... bah qu'ils changent d'employés.
Même en changeant d'employés, tu n'auras jamais une garantie à 100% des données.
LA seule et unique garantie à 100%, ça serait d'avoir toute tes données sur un serveur déconnecté du réseau... dans une pièce fermée... dont personne n'a la clef de la porte... d'ailleurs qu'il n'y ait pas de porte... et pour plus de sécurité, tu éteins le serveur... et tu le brûles (non, n'allez pas mettre vos données chez OVH! )

Citation Envoyé par tanaka59 Voir le message

Se faire dépouiller quelque chose qu'une autre personne nous prête
Euh... tu n'as pas lu les petites lignes du contrat de chez Facebook... tu ne prêtes pas... tu donnes...

Citation Envoyé par tanaka59 Voir le message

Le banquier qui fait le con avec l'argent de ces clients est autant responsable que facebook.
Là tu as tout dit... le dernier banquier qui soit allé en prison, c'était qui et quand?

Citation Envoyé par tanaka59 Voir le message

J'ai aussi fait drastiquement le ménage. J'ai limité au strict nécessaire mon utilisation de facebook (famille , ami, connaissance associative ...) .
Et donc?
Si ils ont tes données perso, que tu n'ailles voir que trois personnes ou la moitié de la Terre, ça ne changera rien en cas de fuite de données.
Que tu résilies ton compte, ça ne change rien non plus...
Comme l'as dit pcdwarf, si tu veux limiter la diffusion d'information, il faut limiter l'information...

Après, sinon, je trouve le titre un peu racoleur.
Sans chercher à défendre Facebook (dont je ne suis pas un fervent activiste ni un membre extrêmement actif), ça serait effectivement "cool" de normaliser le fait que les fuites de données existent... juste histoire de sensibiliser les utilisateurs et qu'ils comprennent les risques qu'ils prennent à leur refiler des tonnes d'informations à une boîte qui les perd régulièrement! Certains diront que ça serait également cool pour Facebook de normaliser le fait de sécuriser les données de ses clients, sauf que nous ne sommes pas les "clients" sur ce coup...
5  0 
Avatar de emilie77
Membre éclairé https://www.developpez.com
Le 08/04/2021 à 11:17
Existe quelqu'un, une commission internationale, qui entre dans le db de facebook pour verifier qu'ils effacent les données?
Si un de mes amis a mon numero sur son smartphone et sincronise avec messenger/whatsapp, facebook a aussi mon numero? Il le enregistre quelque part?
4  0 
Avatar de petitours
Membre expérimenté https://www.developpez.com
Le 16/04/2021 à 8:43
Citation Envoyé par Kayzenne Voir le message
Avez-vous vérifié sur haveibeenpwned ? Vos données sont-elles concernées par la fuite ?
ça ne vous dérange pas de filer des infos à un tel site ?

Je vous propose havemycreditCardOk.com demain si vous voulez, uniquement pour la bonne cause c'est promis.

Plus c'est grossier, plus ça passe comme Facebook pratique depuis le départ.
4  0 
Avatar de flopal
Membre à l'essai https://www.developpez.com
Le 21/04/2021 à 18:46
Q1) Qu’en pensez-vous ?
Une fuite de donnée démontre qu'il y a un problème de faille de sécurité (notamment en termes d'authentification et de permissions). Toutefois, il est évident que des grands groupes de type GAFAM se font attaquer plus fréquemment et doivent redoubler d'effort pour éviter un bad buzz.
"Normaliser" une fuite de donnée, c'est l'identifier, voir ses impacts, conduire une analyse de risque, en déduire les personnes impactées, avertir ces derniers (n'est-ce pas…), proposer un patch, le documenter pour ne plus que cette faille se reproduise, voir si ce patch peut-être appliquer ailleurs. J'ai certainement manqué des étapes, mais j'ose espérer que FB tient un système de ticketing sur ce genre d'incident.

Q2) Facebook souhaite la normalisation de ces ennuyeuses fuites de données. Quel est votre avis à ce sujet ?
C'est un peu déléguer son travail non ? J'ai d'autres arguments (négatif si FB le fait) dans la question suivante, mais de ce que je comprends FB souhaiterai mettre en place une plateforme dans laquelle les différentes failles de sécurités sont recensées et dont un patch est livré sur cette plateforme. Cela me fait penser au CERT cette histoire.
Je ne suis pas forcément contre l'idée, mais il faudrait néanmoins donner l'exemple avant de vouloir faire dans le communautaire (voir réponse question suivante).

Q3) Les fuites de données ne sont-elles pas déjà normalisées sur Facebook ?
Je n’en ai strictement aucune idée. Comme dis dans la première réponse, j'espère que FB a un système de ticketing pour cataloguer ses fuites (avec la solution pour les colmater) ou tout autre outils pouvant catégoriser leur incident critique.
Cependant, FB applique une nouvelle fois de mauvaises pratiques qui risquent de nuire à ce qu'il souhaite instaurer :
1) Facebook a déclaré par la suite qu'il ne notifierait pas plus d'un demi-milliard d'utilisateurs de l'incident
Pourquoi ? Qu'est-ce qui t'empêche de prévenir les autres ? Comme tu ne connais pas l'impact que ça a eu, il serait peut-être appréciable de prévenir le plus de monde possible, non ? J'en déduis que leur politique lié aux fuites de donnée ne montre pas du tout le bon exemple à appliquer. Tu as une faille, tu l'assumes, tu préviens ceux impactés et dans le doute tu préviens tout le monde.
2) il a écrit dans un post sur Medium en 2017 que l'équipe de sécurité de Facebook a rejeté ses conclusions, affirmant que « cela n'expose pas d'informations supplémentaires sur les utilisateurs qui n'étaient pas déjà publiques ».
J'en déduis que FB fait du Bug Bounty. Mais il n'y a qu'à voir la réponse, perso je la comprends comme ça : les données sont publiques, pourquoi je me ferais chier à les protéger ? Ce a quoi je lui répondrais : peut-être que ces données sont personnelles et peuvent nuire à l'identité de la personne si une faille était découverte. Que les posts, images, vidéos soient publiques pas de soucis, mais retrouver l'adresse mail, le téléphone... bon c'est limite un peu non ?

Q4) Facebook dit qu’il ne peut « pas toujours empêcher la réapparition de ce type d’informations ou la mise à disposition de nouvelles données ». Quel commentaire en faites-vous ?
J'ai l'impression de voir un caliméro qui se plaint de son boulot... Encore une fois ça semble assez évident : les hackers ont toujours une longueur d'avance pour détecter / exploiter des failles, bien sûr qu'on est à la ramasse. Toutefois si une faille est découverte, ça démontre que tu n'auras pas "assez fait d'effort" pour verrouiller l'accès aux données pour les personnes autorisées, ou alors tu as laissé le tuyau grand ouvert pour que tes partenaires puissent siffler ce dont ils ont besoin pour épier tes utilisateurs.
Ce travail n'est évidemment pas aussi facile que d'écrire un commentaire dans un forum (coucou moi !), mais si tu prenais un peu plus au sérieux les remarques d'expert qui te pousse une faille - ça réglerait une partie de tes problèmes futures.
4  0 
Avatar de Thorna
Membre éprouvé https://www.developpez.com
Le 22/04/2021 à 13:49
N'y a-t-il que moi qui comprenne, dans l'utilisation faite ici du mot "normaliser", le fait tout simple de "rendre normal", en français ? C'est-à-dire de faire en sorte que ça devienne une habitude, une coutume, un truc qu'on fait tous les jours sans y penser et contre lequel on ne se plaint pas, au contraire. En d'autres termes, de faire en sorte que nous nous habituions à entendre: "oui, y'a des fuites de données, oui c'est normal et ça arrivera de plus en plus, on ne peut rien y faire, et donc habituez-vous à ça et félicitez-vous, ça veut dire que vous êtes important ! Et n'en faites pas tout un plat, fermez-la et dites merci".
Je ne sens pas du tout l'idée d'enregistrer l'incident, de l'étudier, de le référencer, de le résoudre et de le documenter, ou tout autre terme flatteur...
4  0 
Avatar de tanaka59
Membre extrêmement actif https://www.developpez.com
Le 18/04/2021 à 14:02
Bonjour,

Quel est votre avis sur cette fuite de données ?
Comme fuite , ce n'est plus une fuite, c'est carrément un "datawarehouse jacking" ou un "database jacking" . Le ou les pirates ont carrément fait une razia. Je suis étonné que aucun terme n'existe pour qualifier cela ...

Que pensez-vous de l'attitude de Facebook ?
Celle ci commence a m'agacer , car Facebook trouve toujours moyen d'inverser les rôles. Facebook est coupable de négligence . J'irai même plus loin en disant que Facebook a dans ces rangs des personnes verreuses . Qui ont laissé un faille en connaissance de cause.

Quels commentaires faites-vous de l'application du GDPR en Europe ?
40 juridictions différentes, donc 40 applications différentes avec les pays associés. Je n'ose imaginer le foutoir en cas de procédure . Sans parler des pays associés comme la Suisse, l'UK, la Norvège ...

Pensez-vous que pour cette fois, Facebook sera reconnue coupable de violation des règles de protection de données ?
La faute sera porté par un prestataire et Facebook arrivera encore à se disculpé
3  0