Le bug de Facebook ayant provoqué une fuite de données est plus grave que prévu. La société Packet Storm Security (PSS), qui a découvert la faille, a comparé les explications fournies par le réseau social à ses propres résultats et a découvert plusieurs vérités cachées aux conséquences relativement effrayantes pour la vie privée.
Des dossiers fantômes créés à l'insu des internautes
Il y a quelques jours à peine, Facebook communiquait ouvertement sur un problème rapporté par une société de sécurité, PSS. Il y était confirmé que l’outil de récupération des données du compte pouvait contenir des informations d’autres personnes ne figurant même pas dans les contacts. Ces données personnelles pouvaient concerner l’adresse email ainsi que le numéro de téléphone. Selon Facebook, seules six millions de personnes (sur plus d’un milliard) étaient concernées et pour un nombre restreint d’informations.
Pour PSS, le problème est double : non seulement Facebook a menti en abaissant volontairement les chiffres fournis, mais le réseau social constitue également des « dossiers fantômes » sur les internautes, y compris ceux qui n’ont pas de compte. Ces dossiers rassemblent un très grand nombre d’informations sur les habitudes de l’utilisateur, en particulier quand il relie Facebook à d’autres services, sites, applications, etc. Un élément crucial pour mieux appréhender la faille de sécurité de Facebook et les conséquences pour le respect de la vie privée.
Ces dossiers s’alimentent à travers de nombreuses sources de données et représentent le vrai pivot de la recherche de contacts et des suggestions. Par exemple, quand un utilisateur envoie à Facebook son carnet d’adresses, il lui confie des informations sur des personnes qui n’ont potentiellement pas de compte. Qu’à cela ne tienne, Facebook les stocke et s’en sert pour son moteur de recommandation. Ces dossiers sont également constitués pour des internautes n'ayant pas de compte Facebook.
Un problème plus grave qu'annoncé initialement
C’est ici que la faille de sécurité intervient. Quand un utilisateur va se servir de l’outil DYI (Download Your Information), il va récupérer un fichier nommé adressbook.html et contenant l’ensemble des informations sur ses contacts. Mais à cause du bug, des informations croisées entre les dossiers fantômes ont provoqué des glissements. L’opération aboutissait donc à des archives contenant des informations de contacts éloignés, voire totalement inconnus.
Pour Packet Storm Security, la situation est en outre nettement plus sérieuse que Facebook ne veut bien l'avouer, et ce pour deux raisons. D’une part, les chiffres avancés sont plus faibles que ceux trouvés par la société de sécurité. Dans un cas par exemple, Facebook avertissait par email que l’adresse email avait été fournie par erreur à une personne, alors que PSS en avait trouvé quatre. Dans un autre cas, Facebook avertissait de trois éléments quand PSS en trouvait sept. Interrogé par l’entreprise à ce sujet, Facebook a simplement répondu qu’ils n’étaient pas au courant de ce souci car aucun retour n’avait été fait en ce sens. Mais les utilisateurs ne peuvent évidemment pas faire de retour : ils n’ont aucun moyen de savoir si le chiffre avancé par le réseau social correspond bien à la réalité.
Aucun contrôle sur les données stockées chez les autres
D’autre part, les dossiers fantômes posent un évident problème de respect de la vie privée. D’abord parce que les utilisateurs n’ont pas de contrôle sur ce qui est fait en arrière-plan, les opérations étant automatisées et hors de leur portée. Ensuite, et surtout, parce que ces dossiers stockent chez les contacts des informations personnelles. Or, que se passe-t-il si l’utilisateur souhaite disparaître de Facebook ? Il lance la procédure de suppression du compte, ce qui survient quelque temps après, mais sans aucun pouvoir sur les données personnelles qui se trouvent chez ses contacts.
C’est ce qu’explique PSS dans un billet sur son blog : Facebook ne lie pas les informations personnelles du compte à celles qui sont stockées ailleurs. Interrogée sur ce problème, la firme a répondu qu’il n’était pas question de donner un quelconque pouvoir sur les données appartenant à d’autres comptes. Conséquence ubuesque, un contact aura plus de pouvoir sur vos données personnelles que vous-même. Exemple : vous possédez une nouvelle adresse email ou un nouveau numéro de téléphone que vous n’avez pas confié à Facebook. Mais si un de vos amis à envoyé son répertoire au service et que la fiche vous concernant contenait la fameuse information, Facebook pourra la stocker. Ceci à votre insu, et sans rien pouvoir y faire. En outre, tant que vos contacts resteront sur Facebook, l’information continuera à vivre et à pouvoir servir.
Violation de vie privée
Le réseau social estime que la situation est très bien ainsi et ne compte pas agir. La firme va plus loin : les contacts importés par un utilisateur deviennent des données personnelles pour ce même utilisateur. Traduction, cet utilisateur fait ce qu’il veut de ses données et ce n’est pas à Facebook de l'en empêcher. Le réseau social va même plus loin en répondant à PSS qu’agir en ce sens serait une violation du premier amendement de la Constitution américaine, autrement dit de la liberté d'expression.
La conclusion est simple pour PSS : la fiabilité des déclarations de Facebook est douteuse et l’entreprise représente une titanesque mine d’or pour les pirates. Nous ajouterons que la révélation des dossiers fantômes survient en plein scandale du programme de surveillance Prism et au moment où la France comme l’Europe réfléchissent aux bases d’une législation plus stricte sur le respect de la vie privée.
Notez que Packet Storm propose une solution relativement simple et qui pourrait résoudre bien des problèmes. Ainsi, si un contact devait ajouter des informations vous concernant, Facebook serait à même de les détecter et procédèrait à un regroupement. Mais pour que l'utilisateur puisse garder ces données, le réseau l'avertirait qu'une autorisation est nécessaire, à la manière des tags dans les photos. Dans tous les cas, ces informations resteraient liées à votre personne, provoquant leur suppression en cas de départ du service.
Commentaires (105)
Petite boulette deviendra grosse
" /> GG au stagiaire qui en est à l’initiative !
Cessez d’utiliser Facebook !!!
“le réseau social constitue également des « dossiers fantômes » sur les internautes, y compris ceux qui n’ont pas de compte.”
Comment c’est possible un truc pareil ?
j’adore FB, leur politique et leurs bonnes blagues
Le plus étonnant avec facebook , c’est qu’il a fait changer pleins de personnes qui avant ne supportaient pas que leurs photos trainent sur le net, et ainsi afficher ca tronche au yeux de tous.
" />
Aujourd’hui ils s’affichent tous partout, sur tous les sites, pour un oui pou un non, sans ce soucier de rien !!
le Web 2.0 c’est aussi le Web ou les gens se fichent eux même
les comptes fantôme ne sont pas une révélation.
" />
ça fait des années que l’info comme quoi FB crée des comptes fantômes est sortie.
comme pour PRISM, c’est juste une confirmation (étayée et détaillée) de ce qu’on savait déjà…
c’est plus un réseau social c’est une passoire a infos
" />
sans compter qu’on peut raisonnablement penser que G+ et twitter (et autres) fonctionnent exactement de la même façon.
sans compter qu’on peut aussi subodorer que FB, lorsqu’il partage les “données personnelles” avec ses “partenaires”, partage aussi ce genre d’infos.
c’est surtout une belle démonstration du problème Facebook: il ne suffit pas de ne pas être inscrit pour empêcher FB d’amasser des infos sur vous. il faut aussi qu’aucun de vos potes inscrit sur FB ne le fasse.
Conclusion: beaucoup de vos informations “personnelles” ne le sont pas exclusivement, et peuvent être diffusées sans votre consentement et sans même que vous en ayez connaissance.
C’est moi ou Foursqare fait la même chose avec toutes les adresses MAC de tous les périphériques croisés via les utilisateurs du service (BT, wifi, lan, etc…) ?
" />
Apple avait (a toujours ?) quelque chose de similaire afin de plus rapidement gérer le positionnement. Et ce service tourne a fond la nuit… (anciens articles sur le net il me semble)
Donc si on cumule les 3, avec notre carte bleue, c’est la fête :)
Je pense qu’à peu près tous les utilisateurs de FB savent à peu près à quoi s’en tenir. Donc ils sont parfaitement libres d’y aller mais aussi de ne pas faire chier tout le monde à chaque fois qu’ils ont un problème avec leur vie privée qu’ils ont volontairement déballé sur le net pour avoir plein de “zamis”.
" /> quand même…
" />
Comme ceux par exemple qui médisent à mort sur leur employeur et qui s’étonnent ensuite d’avoir des problèmes…
Faut être bien
Je parle bien sûr de ceux qui ont un compte, si ça va au-delà en fichant des non-inscrits ça devient plus qu’inquiétant pour ne pas dire dangereux…
Ben oui, évidemment qu’ils ont des dossiers fantômes, comment vous croyez qu’ils spamment d’invitation à rejoindre leurs amis sur FB les gens non encore inscrits ? Google+ a le même genre de pratiques d’ailleurs…
Je ne vois pas trop où est le problème dans tout ca.
Que toutes les personnes (inscrits et contacts) soient modélisées sous forme de compte FB par le logiciel FB de la société FB… bah ca me parait plutot une bonne idée de conception. Ca unifie la gestion.
L’alternative c’est quoi ? créer des entités “Inscrit” et “Contact” distinctes dans leur base de données ? Ca ne changerait pas grand chose au problème “moral” d’avoir modéliser des personnes non inscrites.
Et donc, quelle solution peut on trouver pour empêcher les réseaux sociaux d’agréger des données sur les gens qui ne veulent pas être sur internet ? Parce que bon, rappelons-le, le but de Facebook c’est de remplir à bloc Open Graph, pas d’être sympa avec les utilisateurs. Tout savoir sur tout le monde. Ce qui est “compréhensible” mais pas cautionnable…
Ca m’amène à une question un peu HS : Je me demande si il existe des sociétés d’audit mandatées par les pouvoirs légaux pour vérifier que le code respecte la légalité. Parce que c’est bien gentil pour les états de faire des lois, mais au final comment vérifier qu’elles sont respectées ? Quelqu’un en sait-il plus la dessus ?
bien content d avoir désactiver à défaut de pouvoir supprimer mon compte fessebouk il y a quelques années. ca m’evite d’avoir mes infos aux yeux du monde
" />
Un bon gros reset de facebook ne ferait pas de mal.
Houhouhou des fantômes, j’ai peur Sammy …
" />.
C’est rigolo j’y vais une fois l’an sur FB, et j’ai eu une notification que l’on s’était connecté à mon compte depuis les US, y en a qui ont que ça à faire
FB = Fan Boy ?
" />
Une petite question un peu HS…J’ai entendu dire quelque chose concernant le bouton “like” de facebook que l’on trouve sur de nombreux sites, comme pcinpact ou d’autre. En effet, même sans cliquer, est-ce que facebook stocke (d’une manière ou d’une autre) l’adresse ip de l’internaute ayant navigué sur une telle page.
Est-ce vrai, ou une légende urbaine ?
Et voila comment facebook va parvenir à me faire chier sans que j’aie de compte chez eux.
" />
" />
" />
" />
" />
" />
" />
" />
GG
j’ai liké la fan page de la fistiniere, je suis mal
" />
Ouaip c’est une des raisons de la suppression de mon compte d’ailleurs : je ne veux pas mettre des photos de moi? pas grave, mes potes (pas des kikoulol pourtant) se chargent d’en mettre pour moi, genre photo de groupe, des photos que tu peux pas demander à enlever quoi. pwnd
Ben moi, je ne ferai plus livrer les cadeaux achetés sur le net à mes amis. J’aurais trop peur qu’Amazon/La Redoute/Cdiscount/etc stockent leurs noms et adresses postales.
" />
Euh… ça fait 2 ans qu’un étudiant autrichien l’a découvert.
Bah, tous les réseaux sociaux vous espionnent. C’est juste que certains ont plus de fuites d’informations que d’autre (et du coup ça ternie leur image). Mais ne pensez pas que les autres (G+, Twitter etc…) ne font pas les mêmes choses. Ça leak juste un peu moins…
Les personnes qui laisse facebook ou autre avaler leur carnet d’adresse sont juste des inconscients.
Bon me reste plus qu’à créer un compte FB pour voir ce qui est dit sur moi et maitriser un peu tout ça en faisant de mon compte ghost un compte real
" />
Hi,
“Quand le service est gratuit.. bien souvent c’est que l’utilisateur est le produit”
" />
Sauf qu’en plus dans ce cas, même un non utilisateur est le “produit”
euh… ça fait des années qu’on le sait !
Notez que Packet Storm propose une solution relativement simple et qui pourrait résoudre bien des problèmes.
Moi aussi j’ai une solution super simple. Arrêtez d’utiliser tous ces services américains.
Pour illustrer mon précédent post, voici:http://www.unilever.fr/nos-marques/
FB aurait du rester cantonné aux USA puisqu’ils sont si fiers de leur premier amendement.
Y’a aussi le stockage de tout l’historique des sites que vous visitez grâce aux boutons like et facebook connect…