Les utilisateurs Facebook pourraient bientôt être de nouveau victimes d’une immense fuite de données. Un programme permettant de relier des adresses mail à des comptes sur le réseau social circule actuellement au sein des forums de hacking. Le groupe de Mark Zuckerberg estime que la faille de sécurité est bénigne, alors que, potentiellement, tous les membres sont concernés.

Après que 533 millions d’utilisateurs Facebook ont été touchés par l’un des gros piratages de l’histoire du réseau social, ce dernier pourrait subir une nouvelle fuite de données de grande ampleur. Un outil repéré par un chercheur en cybersécurité est capable de relier 5 millions d’adresses mail par jour à des comptes publics comme privé. Intitulé « Facebook Email Search v1.0 », il se propage actuellement sur divers forums de hacking.

« J’ai dépensé environ 10 dollars pour acheter de faux comptes Facebook », explique le chercheur dans une vidéo. « Et en seulement 3 minutes, j’ai [obtenu] 6000 comptes [avec leur adresse mail] ». L’outil exploite une faille initialement corrigée par Facebook. Pourtant, celui-ci utilise « exactement la même vulnérabilité ». Le chercheur, qui souhaite rester anonyme, a indiqué avoir contacté Facebook pour les prévenir du problème. Le réseau social a répondu que ce dernier ne nécessite pas de réparation immédiate.

Facebook refuse de colmater la faille qui pourrait faire fuiter des millions d’adresses mail

L’outil est actuellement utilisé pour pirater des comptes Facebook et, in fine, prendre le contrôle de pages, groupes ainsi que des « comptes publicitaires, évidemment pour obtenir des gains financiers ». En seulement quelques minutes, l’outil parvient à obtenir plusieurs milliers d’adresses mail, simplement à partir de quelques noms de compte.

Tout comme la faille de 2019 qui a mené à la dernière fuite historique, Facebook est au courant de la vulnérabilité rendant possible l’opération. Pourtant, le groupe considère qu’il n’est pas nécessaire d’agir pour corriger cette dernière. « Pour une raison inconnue, quand bien même j’ai montré [les résultats] à Facebook pour qu’ils en prennent connaissance, ils m’ont répondu directement qu’ils ne comptent pas empêcher son utilisation ». 

Sur le même sujet : Piratage de Facebook — origine, conséquences, recours judiciaires, tout ce qu’il faut savoir

Dans un communiqué officiel, Facebook a déclaré : « il semble que nous ayons clôturé par erreur le dossier lié au bug avant de le transmettre à l’équipe appropriée. Nous apprécions que le chercheur nous ait partagé ses informations et prenons des mesures initiales pour atténuer ce problème pendant que nous le suivons de près pour mieux comprendre leurs conclusions ».

Vers une nouvelle fuite de données de grande ampleur ?

Il est difficile à l’heure actuelle d’affirmer avec certitude si la faille a été exploitée par des pirates pour construire une immense de bases de données, similaire à celle apparue sur la toile il y a quelques jours. Néanmoins, une telle finalité semble très probable pour le chercheur. « Je pense qu’il s’agit d’une vulnérabilité très dangereuse et j’aimerais aider à la corriger ». En effet, on compte aujourd'hui 2,8 milliards d'utilisateurs actifs sur le réseau social. Sachant qu'il faut obligatoirement une adresse mail pour se créer un compte, c'est autant de victimes potentielles.

De son côté, Facebook continue d’estimer que les conséquences pour les utilisateurs sont minimes. Dans un email envoyé au journal néerlandais DataNews, le réseau social affirme qu’il s’agit « d’un problème général de l’industrie », mais qu’il faut néanmoins « accepter le fait que ce genre d’activité arrive régulièrement ». Comme toujours, le seul moyen de se protéger est donc de consulter la base de données HaveIBeenPwnd et de modifier ses identifiants si son adresse mail y figure.

Le chercheur à l’origine de la découverte conclut en disant que « il ne s’agit pas seulement d’une immense atteinte à la vie privée. Cela va résulter en une nouvelle fuite gigantesque de données, notamment des adresses mail. Elle va permettre à des personnes malveillantes non seulement de relier les adresses mail aux identifiants utilisateurs, mais aussi d’ajouter ces dernières aux numéros de téléphone étant apparus dans de précédentes fuites ».

Source : Ars Technica