San Francisco - Une faille de sécurité découverte en septembre dans Facebook a permis à des pirates informatiques d'accéder à des données personnelles de quelque 29 millions d'usagers, un chiffre inférieur aux craintes initiales du premier réseau social au monde.
Facebook a précisé vendredi dans un communiqué que 15 millions de personnes avaient vu leur nom et leurs contacts personnels compromis et que des informations supplémentaires l'avaient aussi été pour 14 millions d'autres usagers. Le réseau social avait parlé de 50 millions de comptes compromis en révélant l'affaire le 28 septembre. Pour l'ensemble des 29 millions de comptes, les hackers --dont l'identité ou l'origine n'ont pas été révélées jusqu'à présent-- ont accédé au nom de l'usager, son adresse de courriel et/ou son numéro de téléphone si celui-ci était indiqué dans son profil.
La pêche a été beaucoup plus fructueuse, et potentiellement plus dommageable, dans les 14 autres millions de cas.
Outre le nom et les contacts, les pirates informatiques ont aussi pu avoir accès au sexe, au statut indiquant la situation amoureuse, l'éducation reçue mais aussi à la date de naissance, au lieu d'habitation s'il était renseigné, à l'emploi occupé ainsi qu'aux pages internet et personnes suivies par les usagers concernés.
Pour un autre million de cas, les pirates n'ont pu accéder à aucune information.
Facebook a indiqué que la police fédérale américaine poursuivait son enquête et lui avait demandé de ne rien en dévoiler et de rester discret sur ce que pouvaient être les objectifs des hackers.
Au grand soulagement des utilisateurs, Facebook a précisé que les échanges --souvent très personnels-- sur son système de messagerie Messenger n'étaient "pas accessibles aux attaquants" à l'exception d'une configuration très particulière.
Quand un membre d'un groupe Messenger était aussi administrateur d'une page Facebook, un message envoyé par un utilisateur de Facebook devenait accessible aux pirates.
- Que s'est-il passé ? -
Le groupe de Mark Zuckerberg a confirmé vendredi ce qu'il avait révélé le 28 septembre. Les pirates ont profité de la conjonction de plusieurs bugs datant de juillet 2017 et nichés dans la fonctionnalité "Voir en tant que", qui permet de visualiser ce à quoi ressemble son propre profil quand il est vu par un autre utilisateur.
Dans certains cas, l'utilisation de cette fonction générait "par erreur" des clés numériques de connexion, appelées en anglais "access tokens", qui permettent de rester connecté sans avoir à rentrer son mot de passe à chaque fois.
Les pirates sont arrivés à s'emparer de ces clés qui donnent accès aux comptes comme s'ils en étaient le titulaire.
Ils ont débuté par 400.000 comptes originels. "Les attaquants ont commencé avec un groupe de comptes qu'ils contrôlaient directement, ensuite ils se sont attaqués à leurs amis et puis les amis d'amis et ainsi de suite, profitant à chaque fois de la faille", a détaillé Guy Rosen, vice-président gestion de produit chez Facebook.
Le 16 septembre, Facebook avait détecté un problème suite à une hausse inhabituelle du nombre de connexions et décidé d'enquêter. Le 25 septembre, le réseau découvre l'attaque et la faille.
Les 2,2 milliards d'usagers du réseau peuvent vérifier s'ils font partie des victimes sur le site d'aide de Facebook. Le réseau social a indiqué qu'il enverrait des messages personnalisés aux 30 millions de victimes dans les prochains jours pour leur indiquer ce qui a précisément été compromis et pour leur donner des conseils utiles pour mieux se protéger.
Les applications Messenger Kids, Instagram, WhatsApp, Oculus, Workplace ou Pages n'ont pas été affectés. Les paiements, les applications de parties tierces ou les comptes de développeurs ont également été épargnés.
Facebook doit maintenant faire face notamment à une enquête des autorités irlandaises --où se trouve son siège européen-- en application du règlement européen sur la protection des données pour voir si le réseau social avait bien rempli ses obligations.
Cette nouvelle atteinte à la sécurité du réseau pourrait ébranler un peu plus la confiance des utilisateurs déjà échaudés par l'affaire Cambridge Analytica et l'utilisation à leur insu de données de millions d'utilisateurs à l'occasion de l'élection présidentielle américaine de 2016.
Facebook a précisé vendredi dans un communiqué que 15 millions de personnes avaient vu leur nom et leurs contacts personnels compromis et que des informations supplémentaires l'avaient aussi été pour 14 millions d'autres usagers. Le réseau social avait parlé de 50 millions de comptes compromis en révélant l'affaire le 28 septembre.
La pêche a été beaucoup plus fructueuse, et potentiellement plus dommageable, dans les 14 autres millions de cas.
Outre le nom et les contacts, les pirates informatiques ont aussi pu avoir accès au sexe, au statut indiquant la situation amoureuse, l'éducation reçue mais aussi à la date de naissance, au lieu d'habitation s'il était renseigné, à l'emploi occupé ainsi qu'aux pages internet et personnes suivies par les usagers concernés.
Pour un autre million de cas, les pirates n'ont pu accéder à aucune information.
Facebook a indiqué que la police fédérale américaine poursuivait son enquête et lui avait demandé de ne rien en dévoiler et de rester discret sur ce que pouvaient être les objectifs des hackers.
Au grand soulagement des utilisateurs, Facebook a précisé que les échanges --souvent très personnels-- sur son système de messagerie Messenger n'étaient "pas accessibles aux attaquants" à l'exception d'une configuration très particulière.
Quand un membre d'un groupe Messenger était aussi administrateur d'une page Facebook, un message envoyé par un utilisateur de Facebook devenait accessible aux pirates.
- Que s'est-il passé ? -
Le groupe de Mark Zuckerberg a confirmé vendredi ce qu'il avait révélé le 28 septembre. Les pirates ont profité de la conjonction de plusieurs bugs datant de juillet 2017 et nichés dans la fonctionnalité "Voir en tant que", qui permet de visualiser ce à quoi ressemble son propre profil quand il est vu par un autre utilisateur.
Dans certains cas, l'utilisation de cette fonction générait "par erreur" des clés numériques de connexion, appelées en anglais "access tokens", qui permettent de rester connecté sans avoir à rentrer son mot de passe à chaque fois.
Les pirates sont arrivés à s'emparer de ces clés qui donnent accès aux comptes comme s'ils en étaient le titulaire.
Ils ont débuté par 400.000 comptes originels. "Les attaquants ont commencé avec un groupe de comptes qu'ils contrôlaient directement, ensuite ils se sont attaqués à leurs amis et puis les amis d'amis et ainsi de suite, profitant à chaque fois de la faille", a détaillé Guy Rosen, vice-président gestion de produit chez Facebook.
Le 16 septembre, Facebook avait détecté un problème suite à une hausse inhabituelle du nombre de connexions et décidé d'enquêter. Le 25 septembre, le réseau découvre l'attaque et la faille.
Les 2,2 milliards d'usagers du réseau peuvent vérifier s'ils font partie des victimes sur le site d'aide de Facebook. Le réseau social a indiqué qu'il enverrait des messages personnalisés aux 30 millions de victimes dans les prochains jours pour leur indiquer ce qui a précisément été compromis et pour leur donner des conseils utiles pour mieux se protéger.
Les applications Messenger Kids, Instagram, WhatsApp, Oculus, Workplace ou Pages n'ont pas été affectés. Les paiements, les applications de parties tierces ou les comptes de développeurs ont également été épargnés.
Facebook doit maintenant faire face notamment à une enquête des autorités irlandaises --où se trouve son siège européen-- en application du règlement européen sur la protection des données pour voir si le réseau social avait bien rempli ses obligations.
Cette nouvelle atteinte à la sécurité du réseau pourrait ébranler un peu plus la confiance des utilisateurs déjà échaudés par l'affaire Cambridge Analytica et l'utilisation à leur insu de données de millions d'utilisateurs à l'occasion de l'élection présidentielle américaine de 2016.