Une importante faille met à risque tous les comptes Facebook, mais le réseau social s’en fout

Un chercheur informatique a identifié une faille importante dans le réseau social Facebook. Il a démontré qu’il pouvait facilement lier des millions d’adresses courriel à des comptes Facebook actifs en quelques minutes. De quoi permettre à un pirate de tenter de se connecter aux comptes ou faire de l’hameçonnage. L’autre hic, c’est que Facebook s’en lave les mains.

Après avoir été embourbé avec une fuite où les informations de 533 millions de comptes ont été subtilisé, Facebook ne semble toujours pas apprendre de ses erreurs.

Un chercheur informatique a identifié une autre importante faille de sécurité sur le réseau social qui pourrait cette fois potentiellement compromettre tous les comptes.

Ce dernier a partagé sa découverte au site ArsTechnica, après l’avoir partagé aux responsables de Facebook qui eux ont jugé qu’elle n’était pas si importante.

Pourtant, la faille est loin d’être minime, mais à la vue d’un courriel interne chez Facebook, on tente de balayer tout sous le tapis.

Une immense base de données des comptes Facebook à portée de main

Ce que le chercheur a partagé au site ArsTechnica, c’est une vidéo d’un outil nommé Email Search v1.0. Cet outil permet de générer des adresses courriel et de tenter de voir si elles sont utilisées par un compte Facebook.

L’outil peut en théorie générer jusqu’à 5 millions d’adresses courriel par jour et tester voir si elles sont liées à un compte Facebook.

En à peine 3 minutes, l’outil Email Search v1.0 a identifié 5863 adresses courriel à des comptes Facebook. Crédit Photo : ArsTechnica.

Le danger là-dedans, est que cela pourrait permettre à des personnes malintentionnées de se créer une immense base de données de comptes Facebook.

Ces pirates pourraient ensuite tenter de se connecter aux comptes en testant des combinaisons de mots de passe ou carrément nous envoyer des courriels d’hameçonnage à l’effigie de Facebook pour tenter de nous subtiliser nos informations.

Facebook veut normaliser ce genre de failles et de fuites

Joint par le chercheur, Facebook lui aurait répondu que la faille n’était pas assez importante et qu’elle ne méritait pas d’être colmatée.

Rejoints cette fois par ArsTechnica avec les démonstrations du chercheur, les responsables de Facebook ont changé leur fusil d’épaule en répondant:

Il semble que nous ayons fermé par erreur ce rapport de bounty avant de l’acheminer vers l’équipe appropriée. Nous apprécions que le chercheur partage les informations et prenons les mesures initiales pour atténuer ce problème pendant que nous suivons pour mieux comprendre leurs résultats.

Cette réponse, loin d’être rassurante, fait écho à un courriel interne obtenu par DataNews datant du 8 avril 2021, soit en plein cœur du scandale de la fuite des 533 millions de comptes.

On peut y lire que le réseau social tente de généraliser ce genre de fuite et d’en faire un problème global de l’industrie informatique.

En supposant que le volume d’articles de presse continue de diminuer [autour de la récente fuite de 500 millions de numéros de téléphone], nous ne prévoyons pas de déclarations supplémentaires sur cette question. À plus long terme, cependant, nous nous attendons à davantage d’incidents de scraping et nous pensons qu’il est important à la fois d’en faire un problème pour l’ensemble du secteur et de normaliser le fait que cette activité se produit régulièrement.

Pour ce faire, l’équipe propose un point de suivi dans les semaines à venir qui parle plus largement de notre travail anti-scraping et fournit plus de transparence autour du travail que nous faisons ici. Cela peut refléter une grande partie des activités de scraping, nous espérons que cela aidera à normaliser le fait que c’est un problème en cours et à éviter la critique selon laquelle nous ne sommes pas transparents sur des incidents spécifiques.

Comment protéger son compte Facebook de ces failles

Si Facebook n’entend pas être proactif avec ce genre de failles qui afflige son réseau, nous, les utilisateurs, pouvons l’être pour sécuriser nos comptes.

Dans un premier temps, il faut s’assurer que notre mot de passe est béton. On ne voudrait pas que des pirates puissent le craquer en quelques secondes…

On peut notamment tester la force de son mot de passe avec How Secure is My Password. Ce site nous permet de savoir combien de temps cela pourrait prendre à quelqu’un pour craquer notre mot de passe.

Si cela ne prend que quelques secondes, on est mieux de le changer pour un mot de passe long et fort! Peur de l’oublier? Il existe des gestionnaires de mots de passe pour ça! Que ce soit 1Password, Dashlane, ou NordPass par exemple, ces derniers vont crypter nos mots de passe et nous n’avons plus à nous souvenir de tous nos mots de passe différents pour tous nos comptes.

Une autre barrière que l’on peut mettre en place est de s’assurer d’avoir activé les alertes de connexions. Si quelqu’un devait parvenir à se connecter à notre compte, nous serions alertés et nous pourrions aller la déconnecter, puis changer notre mot de passe.

Encore mieux, on peut aussi activer l’authentification à double facteur sur Facebook. Un moyen redoutable d’empêcher toutes connexions intruses, puisqu’il faut un second code pour se connecter. Ce code peut nous être envoyé par courriel, texto ou via une application de 2FA.

Enfin, concernant les courriels d’hameçonnages que l’on pourrait recevoir, il faut être vigilant et se souvenir des trucs pour identifier les faux courriels. En cas de doute persistant, il possible à même son compte de savoir si c’est un vrai ou faux courriel de Facebook.

Protégez-vous des arnaques et fraudes sur le web grâce à fraudeweb.com