L’alarme a été sonnée en plein week-end de Pâques, le samedi 3 avril, par un professionnel de la sécurité informatique. Dans une série de tweets massivement partagée, Alon Gal, cofondateur de l’entreprise Hudson Rock, spécialiste de la cybercriminalité, a révélé que les données personnelles liées à plus de 500 millions de comptes Facebook étaient librement accessibles en ligne.
D’où viennent ces données ? Comment sont-elles diffusées ? Faisons le point sur cette nouvelle fuite qui sème la panique.
Les données personnelles sont-elles vraiment accessibles gratuitement ?
Samedi 3 avril, un internaute a publié, sur un forum régulièrement fréquenté par certains cybercriminels, une compilation de données personnelles d’utilisateurs de Facebook – plus précisément, 533 millions de comptes Facebook sont concernés. Le fichier contient notamment, selon le diffuseur, des numéros de téléphone, le statut amoureux (« célibataire », « en couple », etc.), et parfois l’adresse e-mail des utilisateurs concernés. La véracité des données a été vérifiée par plusieurs médias américains.
Cette gigantesque base de données, qui comprend un peu moins de 20 millions de comptes français, est disponible à l’achat pour quelques euros à peine, une somme dérisoire.
D’où viennent ces données ?
Dans un communiqué envoyé au site Business Insider, Facebook a affirmé que ces données provenaient d’une collecte illégale qui exploitait une faille de sécurité découverte et réparée en 2019. En effet, à l’époque, des chercheurs en sécurité informatique avaient découvert une vulnérabilité qui permettait de collecter en masse les numéros de téléphone et certaines données des utilisateurs de Facebook et d’Instagram. Dès 2018, le PDG de Facebook, Marc Zuckerberg, avait reconnu que certaines fonctionnalités du réseau social avaient été exploitées par des pirates pour rassembler des données sensibles similaires.
Est-ce la première fois qu’elles circulent ?
Ces derniers mois, ces données ont fait surface à plusieurs reprises sur les marchés noirs. En janvier, le site Vice avait, par exemple, repéré un compte Telegram diffusant à la demande les numéros de téléphone associés à plus de 500 millions de comptes Facebook.
L’internaute qui diffuse aujourd’hui cette gigantesque fuite de données avait par ailleurs mis en vente ces informations sur un forum en février, diffusant des extraits pour en prouver la véracité et la proposant pour une somme très accessible (99 dollars). Le spécialiste en sécurité informatique Alon Gal a, de son côté, découvert qu’une base de données similaire était mise en vente dès juin 2020.
Puis-je vérifier si je suis dedans ?
Oui. Le site HaveIBeenPwned, qui ausculte les principales fuites de données pour alerter les internautes, est désormais capable de chercher votre numéro de téléphone parmi les données qui ont été volées à Facebook et qui circulent sur Internet. Il faut le taper au format international, c’est à dire que pour un numéro de portable français, il faut taper « +33 » au lieu du zéro.
Que dois-je faire pour me protéger ?
Etant donné l’ampleur de la fuite, si vous avez créé votre compte Facebook avant 2018 et que vous y avez associé un numéro de téléphone, il est conseillé d’agir comme si vous étiez concernés par ce piratage.
Ces informations peuvent être utilisées pour des campagnes de phishing et de smishing (l’hameçonnage par SMS). Faites donc attention aux e-mails et SMS que vous recevez vous invitant à vous connecter à un espace personnel ou à communiquer des informations confidentielles. Par exemple, si vous recevez un message de votre banque qui vous semble suspect, et vous invite à vous connecter pour vérifier vos comptes, ne cliquez sur aucun lien et ne répondez pas, mais tapez directement l’adresse du site de votre banque dans votre navigateur pour vous connecter, ou appelez votre conseiller pour qu’il vous confirme qu’un message vous a bien été envoyé.
Contribuer
Réutiliser ce contenu
