Facebook : les données de 267 millions d’utilisateurs en fuite

Les numéros de téléphone, noms de famille et identifiants Facebook pour plusieurs centaines de millions d'utilisateurs étaient disponibles sur une base de donnée ouverte. Un scandale de plus pour le réseau social qui a bien du mal à assurer la sécurité des usagers.

Le site Compartech révèle aujourd’hui dans un billet s’être associé au chercheur en sécurité Bob Diachenko pour soulever un problème de sécurité massif pour les utilisateurs du réseau social de Mark Zuckerberg. Selon le site, une base de données contenant plus de 267 millions d’identifiants d’utilisateurs de Facebook, de numéros de téléphone et de noms était ouverte aux yeux de tous, sans mot de passe ou autre forme d’authentification. Selon le site, qui a découvert le cluster Elasticsearch, cette collecte a pu avoir lieu grâce à l’abus d’API Facebook par des personnes mal intentionnées provenant du Vietnam. Si l’hébergeur du serveur a immédiatement été contacté par Diachenko afin de faire supprimer l’accès, le chercheur affirme que la base de données a été publiée sur un forum de hackers en téléchargement libre.

Une exposition de courte durée

Afin de mieux comprendre le déroulement des évènements, et notamment la fourchette de disponibilité des données, le site propose une chronologie :

• 4 décembre – La base de données a été indexée pour la première fois
• 12 décembre – Les données ont été postées en téléchargement sur un forum de hackers
• 14 décembre – Diachenko découvre la base de données et envoie un rapport au fournisseur gérant l’adresse IP du serveur
• 19 décembre – La base de données est indisponible.

Au total selon le spécialiste, ce ne sont pas moins de 267 140 436 entrées qui ont été exposées. La plupart des utilisateurs touchés étaient des Américains. Chacune contenait l’identifiant Facebook unique au compte, un numéro de téléphone, un nom complet ainsi qu’un horodatage permettant de déterminer le moment de l’aspiration des données.

Une récolte de grande ampleur automatisée

Le terme de scraping qui est utilisé pour décrire le processus dans lequel les robots automatisés passent rapidement en revue un grand nombre de pages Web, copiant les données de chacune d’entre elles dans une base de données, sied à la situation. Il est difficile pour Facebook d’empêcher le scraping car le site ne peut faire la différence entre un utilisateur légitime qui parcours le site et un robot.