Le piratage de Facebook n’aurait pas touché les applications tierces

Cette année 2018 n’est décidément pas celle de Facebook. Après le scandale Cambridge Analytica, voilà que le groupe est victime d’une attaque qui a exposé 50 millions de ses utilisateurs. [scald=24555913:sdl_editor_representation] On estime que le piratage dont le géant californien a été victime est le plus gros jamais observé. On sait pourtant encore peu de choses sur l’attaque. 1 Que s’est-il passé ? Vendredi dernier, les responsables de Facebook ont annoncé le piratage du site : 50 millions de comptes ont été compromis. Concrètement, les pirates ont utilisé une faille dans le code de la fonction « Voir mon profil en tant que » qui permet d’avoir un aperçu de ce à quoi ressemble son compte pour un autre utilisateur du réseau social. En exploitant une faille de conception, les pirates ont pu récupérer 50 millions de « tokens ». Ces « tokens » sont comparables à des clés virtuelles : lorsque l’on se connecte à Facebook depuis un ordinateur que l’on a l’habitude d’utiliser, le navigateur permet de surfer sur le site sans avoir à réencoder ses identifiants. En utilisant ces tokens, les pirates auraient ainsi pu se connecter aux comptes associés. Mark Zuckerberg, patron du réseau social, a assuré en conférence de presse, vendredi, que la brèche avait été réparée ce jeudi et qu’une enquête avait débuté pour tenter d’évaluer l’importance et les conséquences de l’attaque. 2 Comment savoir quand on est touché ? Difficile de le savoir. Dans la foulée de l’annonce, Facebook a réinitialisé les tokens de 90 millions d’utilisateurs. Soit les 50 millions de comptes compromis ainsi que les 40 millions pour lesquels il y avait un doute suite à l’utilisation de la fonction « Voir mon profil en tant que ». Ces utilisateurs ont ainsi été déconnectés du site sur tous leurs appareils et ont dû rentrer leurs identifiants pour entrer sur le site. Il n’existe pour l’heure aucun moyen de savoir si l’on fait partie de l’un ou l’autre groupe. Par ailleurs, si les pirates ont pu accéder au compte, Facebook assure que les mots de passe et les éventuelles informations bancaires associées au compte n’ont pas été exposés. 3 Les applications tierces dans l’œil du cyclone. Au-delà des photos ou des messages auxquels les pirates auraient pu avoir accès, la grande crainte de Facebook était que son système connect soit compromis. Facebook connect permet en effet d’utiliser son compte Facebook pour s’inscrire sur des sites et des applications tierces. Les applications Uber ou Tinder ou même Candy Crush, pour ne citer qu’elles, permettent par exemple d’utiliser son compte Facebook pour s’inscrire à leurs services. Et la technologie qui rend cela possible, ce sont les tokens, ceux-là mêmes qui ont été subtilisés à Facebook. Ce mardi, Guy Rosen, vice-président de l’entreprise, s’est voulu rassurant : « Nous avons analysé nos registres sur toutes les installations et connexions aux applications tierces durant l’attaque. Jusqu’ici, l’enquête n’a permis de trouver aucun indice qui montrerait que les attaquants aient pu se connecter à ces applications en utilisant Facebook Login ». Rassurant, donc, mais l’utilisation de Facebook pour se connecter à des prestataires de services tiers pose toutefois question. L’utilisation de Facebook pour se connecter à cette myriade de sites permet de placer sa confiance en un géant dont on imagine que la sécurité est particulièrement performante plutôt qu’à ces nombreux sites dont les moyens sont plus limités. En revanche, si la sécurité de ce site unique est compromise, c’est l’ensemble de nos comptes qui sont exposés. Une étude récente de L’université de l’Illinois à Chicago, relayée par le magazine spécialisé Wired , révèle en effet que la sécurité de la plupart de ces applications laisse à désirer. Souvent, par exemple, le simple fait d’avoir un onglet ouvert sur Facebook dans son navigateur permet de se connecter à ces services sans avoir à s’identifier. Sur les 95 applications testées, parmi les plus populaires, par les chercheurs, seules deux demandaient d’entrer son mot de passe avant de se connecter. Ils ont ainsi pu observer en temps réel le trajet parcouru en Uber par l’utilisateur de Facebook ou encore les messages échangés sur l’application Tinder. Plus inquiétant encore, les chercheurs ont constaté que, même si l’utilisateur n’utilise pas son compte Facebook pour se connecter, mais qu’il s’inscrit avec la même adresse e-mail que celle associée à son compte, certaines applications associaient elles-mêmes les deux comptes et que la vulnérabilité était la même. 4 Quel impact sur Facebook ? Depuis le scandale de Cambridge Analytica, le site est dans le viseur de nombreux gouvernements. Cette attaque ne va probablement pas arranger les choses. Alors que le parlement de Grande-Bretagne réclame une nouvelle fois d’auditionner Mark Zuckerberg, sur cette question, le Wall Street Journal estime que le site pourrait se voir infliger une amende de 1,6 milliard de dollars si l’attaque met en lumière une non-mise en conformité par rapport au RGPD (Règlement général sur la protection des données). La Commission de protection des données irlandaise a d’ailleurs demandé des comptes au géant. Cette autorité, citée par Le Monde , estime par ailleurs que moins de 5 millions d’Européens ont été victimes de l’attaque.

Votre compte

Le piratage de Facebook n’aurait pas touché les applications tierces

Découvrez la suite, 1€ pour 1 mois (sans engagement)

Avec cette offre, profitez de :

Le fil info

0 Commentaire

Aussi en Société

Entretien Steven Laureys: «Le sommeil est loin d’être du temps perdu»

Treize millions d’habitants en Belgique en 2070 (infographie)

Et si l’internet des objets ne servait à rien?

Mort du policier Thomas Monjoie: «Il ne faut pas changer la loi, mais améliorer les consignes données aux magistrats»

«Quoicoubeh» et «apanyae»: voici la signification de ces nouvelles expressions à la mode

Allez au-delà de l'actualité

À la Une

Raskin quitte le Standard, Anderlecht toujours sans attaquant: suivez en direct les dernières heures animées du mercato

Portrait Domenico Tedesco, un vent de modernité à la tête des Diables rouges (vidéos)

Prix énergie, SNCB, banque…: tout ce qui change ce mercredi 1er février

Budget de Liège: des finances toujours plus dans le rouge

France: des violences éclatent à Paris en marge de la manifestation (vidéos)

Prix de l’énergie: pourquoi l’embellie reste fragile

L’indemnité vélo pour tous les travailleurs belges dès le mois de mai

Quels sont les avantages du travail intérimaire ?

Comprendre l'indexation des salaires en Belgique

Les sections du site

Les services

Groupe Rossel