Firefox Send a été lancé en mars 2019 comme service de partage de fichiers. Un fonctionnement simple : on envoie les données à Send (dans la limite de 2,5 Go), qui fournit alors un lien de partage. 

L’utilisateur définit certains paramètres optionnels comme le temps que le fichier peut rester sur les serveurs (de 5 min à 7 jours), l’ajout d’un mot de passe ou un nombre de téléchargements à ne pas dépasser. Les données échangées avec les serveurs sont chiffrées de bout en bout.

Malheureusement pour Mozilla, son Send a été lourdement utilisé par les auteurs de malwares. Le processus est on ne peut plus simple : un logiciel malveillant est stocké dans le service, puis le lien est envoyé par email aux personnes à piéger. Il pouvait s’agir aussi bien de campagnes de phishing que de spear phishing (harponnage), quand l’attaque est personnalisée pour cibler une personne spécifique.

Ransomwares, troyens bancaires, et autres logiciels espions ont été détectés, avec une hausse notable au cours des derniers mois. FIN7, REVil (Sodinokibi), Ursnif (Dreambot) et Zloader font partie des bestioles ainsi repérées.

Selon le chercheur anglais en sécurité Colin Hardy, interrogé par ZDNet, les auteurs de malwares apprécient particulièrement Send pour trois raisons : 

• Les URL émises par le service ont la confiance de la plupart des infrastructures professionnelles
• Le service est fiable et permet de ne pas investir dans de l’hébergement de fichier (même si le stockage n’est que temporaire)
• Les données sont chiffrées, et l’ajout d’un mot de passe permet d’autant plus d’éviter la détection

Alors que la communauté de la cybersécurité demandait surtout l’ajout de boutons pour signaler aussi bien les fichiers que les abus, Mozilla a pris une décision radicale : mettre tout le service en pause.

À ZDNet, un porte-parole de la société a expliqué : « Ces signalements sont profondément inquiétants à de multiples niveaux, et notre organisation agit pour les régler. Nous mettons temporairement Firefox Send hors ligne pendant que nous améliorons le produit ».

Les demandes des chercheurs ont été entendues, mais Mozilla ira plus loin : « Avant de le relancer, nous ajouterons un mécanisme de signalement des abus […], et nous exigerons des utilisateurs voulant partager des contenus via Send de se connecter avec un compte Firefox ».

Il fallait s’attendre à un renforcement de la sécurité, mais la nécessité d’utiliser un compte Firefox vient casser le gros avantage de la solution de Mozilla : sa simplicité. En dépit du nom « Firefox Send », le service n’était en effet pas lié à Firefox et pouvait s’utiliser de n’importe quel navigateur depuis l’adresse send.firefox.com.

L’éditeur n’a fourni aucune date pour le retour de son service.