Facebook : les 5 questions sur la faille de sécurité qui fâche

Le réseau social Facebook a du faire face à un piratage massif dû à une faille de sécurité dans son code informatique. Une nouvelle affaire qui soulève de nombreuses questions.
 

Mise à jour 
02/10/2018 à 12:11

Dans la journée du lundi 1er octobre, un porte-parole de la Data Protection Commission en Irlande a rapporté au journal Le Monde que sur les 50 millions de comptes touchés par le piratage de Facebook, près de 10 % appartiennent à des utilisateurs européens. Au total, environ 5 millions de personnes sont donc concernées sur le vieux Contient par un potentiel vol de données sur le réseau social et les éventuels sites internet et applications connectés avec leur login Facebook. La firme californienne a par ailleurs promis qu'elle fournirait prochainement des informations géographiques plus précises.

Que s'est-il passé exactement ?

Le vendredi 28 septembre dernier, Facebook a reconnu avoir été victime d'une attaque sans précédent dans son histoire. Des hackers ont exploité une faille de sécurité compromettant potentiellement près de 50 millions de comptes d'utilisateurs du réseau social. Pour mener cette attaque, découverte le mardi 25 septembre et corrigée deux jours plus tard, les hackers ont exploité trois bugs combinés dans le code de la fonctionnalité "Aperçu du profil " qui permet de voir à quoi ressemble son compte lorsque d'autres personnes le consultent. Cette vulnérabilité a permis aux hackers de récupérer près de 50 millions de jetons d'identification (tokens). Il s'agit d'une sorte de clé numérique permettant aux utilisateurs de ne pas avoir à retaper sans cesse leurs identifiants (e-mail et mot de passe) lorsqu'ils se connectent sur le réseau social, mais aussi sur tous les services interconnectés avec leur compte. La faille de sécurité ne concerne donc pas uniquement le réseau social, mais tous les sites Internet et les applications auxquels les utilisateurs se connectent grâce à leurs identifiants Facebook.  
 
Qui a été affecté ?

Pour circonscrire la faille, Facebook a déconnecté les 50 millions de comptes concernés, puis 40 millions d'autres ayant utilisé la fonction "Aperçu de profil" durant les douze derniers mois par mesure de précaution. À l'occasion d'une conférence de presse organisée le vendredi 28 septembre, Mark Zuckerberg a déclaré que les utilisateurs dont le compte a été affecté seraient avertis par le biais d'un message affiché en haut de leur fil d'actualité. La faille concerne les utilisateurs du monde entier, dont de nombreux Français qui ont été déconnectés automatiquement du réseau social dans la journée de vendredi et contraints de se reconnecter. Pour vérifier si son compte est concerné, il suffit de se rendre dans "Paramètres", puis de cliquer sur l'onglet "Sécurité et connexion" pour voir apparaître la liste des appareils qui se sont connectés à Facebook, leur emplacement géographique ainsi que la date de connexion. Au cas où un appareil ou un lieu semble suspect, sélectionner les trois petits points sur la droite et cliquer sur "Ce n'est pas vous ?" afin de suivre les étapes de sécurisation des données proposées.
 

Mark Zuckerberg, le fondateur et PDG de Facebook. © Facebook

Quelles informations ont été volées ?

Impossible de savoir pour l'instant si des informations ont été volées, ou si un compte a été déconnecté parce qu'il a été affecté par l'attaque ou par mesure de précaution. Avec les tokens d'accès, les hackers ont pu non seulement mettre la main sur les données personnelles des profils, mais également de pénétrer dans tous les comptes connectés au moyen du login de Facebook comme Instagram, par exemple. Concrètement, les hackers ont pu accéder aux comptes Facebook et les autres services exactement comme s'ils en étaient les titulaires. Selon Facebook, les mots de passe ainsi que les informations bancaires n'auraient pas été compromis. À ce stade, la firme de Mark Zuckerberg a déclaré ne pas savoir qui se cache derrière cette attaque ni d'où elle provient. L'entreprise collabore avec le FBI qui a ouvert une enquête.
 
Facebook va-t-il payer une amende ?

Les régulateurs européens de la Data Protection Commissioner, installée en Irlande, ne comptent pas faire de cadeau à Facebook. L'organisme a fait savoir dès le lendemain de l'attaque qu'il pourrait infliger une amende de 1,63 ,milliard de dollars au géant américain. La commission a en effet ouvert une enquête afin de déterminer si Facebook a enfreint le nouveau RGPD (règlement général sur la protection des données) qui s'avère particulièrement strict en matière de protection des données privées des citoyens de l'Union européenne. D'après le règlement européen, les entreprises qui ne protègent pas suffisamment les données des utilisateurs peuvent se voir infliger une amende allant jusqu'à 4 % du chiffre d'affaires annuel de l'année précédente.
 
Quel avenir pour le réseau social ?

C'est peut-être le scandale de trop pour le réseau social. D'après les propos rapportés par nos confrères de Courrier international, le magazine Wired n'hésite pas à qualifier l'incident de "possible calamité à l'échelle d'Internet". Wired pointe du doigt l'apparent manque de sécurité du système d'identification unique proposé par Facebook pour se connecter facilement à d'autres sites et applications. Bien que très pratique, un tel système se doit d'être en principe ultrasécurisé. Des utilisateurs américains auraient déjà engagé une procédure d'action collective (class action) contre le réseau social pour demander réparation. Après le scandale de Cambridge Analytica, cette nouvelle affaire tombe assurément au plus mal pour l'entreprise. "Nous continuons à améliorer nos défenses. Nous faisons l'objet d'attaques constantes de la part de gens qui tentent de pirater des comptes ou de récupérer des informations personnelles", a déclaré le patron de Facebook, Mark Zuckerberg. Pas sûr que ces propos suffisent à calmer les esprits. Conséquence des scandales à répétition, 26 % des utilisateurs de Facebook aux États-Unis ont supprimé son application mobile. L'impact de cette nouvelle affaire pourrait bien accélérer la fuite en avant du réseau social…

Source : lesnumeriques