Faille de sécurité Facebook: plus de 50 millions de comptes piratés
Le géant des médias sociaux, Facebook, fait actuellement l’objet d’une cyber-attaque. Un pirate taïwanais nommé Chang Chi-yuan a menacé de supprimer la page Facebook de Mark Zuckerberg dans une vidéo en direct avant de se retirer.
Facebook a révélé vendredi dernier qu’un piratage affectant 50 millions de personnes avait eu lieu. Une faille située dans la fonction « Voir en tant que » grâce à laquelle les membres peuvent consulter leur profil tel que le voient leurs amis, a été exploitée par des pirates qui ont pu se procurer des jetons d’identification (access token en anglais) et ainsi gagner un accès complet aux comptes utilisateurs. Facebook a également indiqué que la faille concernait des applications tierces liées à un compte Facebook, dont Instagram. Par précaution, le réseau social a déconnecté 90 millions de comptes.
Facebook a publié un communiqué officiel sur l’attaque: «L’après-midi du mardi 25 septembre, notre équipe d’ingénieurs a découvert un problème de sécurité touchant près de 50 millions de comptes. Nous prenons cela extrêmement au sérieux et nous voulions que tout le monde sache ce qui s’est passé et les mesures immédiates que nous avons prises pour assurer la sécurité des personnes ».
Notre enquête en est encore à ses débuts. Mais il est clair que les attaques ont exploité une vulnérabilité du code de Facebook qui avait une incidence sur «View As», une fonctionnalité permettant aux utilisateurs de voir à quoi ressemblait leur propre profil pour quelqu’un d’autre. Cela leur a permis de voler des jetons d’accès à Facebook qu’ils pourraient ensuite utiliser pour prendre en charge les comptes des utilisateurs. Les jetons d’accès sont l’équivalent des clés numériques qui permettent aux utilisateurs de rester connectés à Facebook afin qu’ils n’aient pas besoin de ressaisir leur mot de passe chaque fois qu’ils utilisent l’application.
Voici l’action que nous avons déjà prise. Premièrement, nous avons corrigé la vulnérabilité et appliqué la loi de manière éclairée.
Deuxièmement, nous avons réinitialisé les jetons d’accès des près de 50 millions de comptes dont nous savons qu’ils ont été affectés pour protéger leur sécurité. Nous prenons également la mesure de précaution consistant à réinitialiser les jetons d’accès pour 40 millions de comptes supplémentaires qui ont fait l’objet d’une recherche «Consulter en tant que» au cours de la dernière année. Ainsi, environ 90 millions de personnes vont devoir se reconnecter à Facebook ou à l’une de leurs applications utilisant Facebook Login. Une fois connectés, les utilisateurs recevront une notification en haut de leur fil d’actualités expliquant ce qui s’est passé.
Troisièmement, nous désactivons temporairement la fonctionnalité «Afficher en tant que» lorsque nous procédons à un examen approfondi de la sécurité.
Cette attaque a exploité l’interaction complexe de plusieurs problèmes dans notre code. Cela découle d’une modification apportée à notre fonctionnalité de téléchargement de vidéos en juillet 2017, qui a affecté «View As». Les attaques devaient non seulement trouver cette vulnérabilité et l’utiliser pour obtenir un jeton d’accès, mais ils devaient ensuite faire pivoter ce compte pour d’autres à voler plus de jetons.
Comme nous venons tout juste de commencer notre enquête, nous n’avons pas encore déterminé si ces comptes ont été utilisés à mauvais escient ou si des informations ont été consultées. Nous ne savons pas non plus qui est derrière ces attaques ni où elles sont basées. Nous travaillons dur pour mieux comprendre ces détails et nous mettrons à jour ce post lorsque nous aurons plus d’informations ou si les faits changent. De plus, si nous trouvons d’autres comptes affectés, nous réinitialiserons immédiatement leurs jetons d’accès.
La vie privée et la sécurité des personnes sont extrêmement importantes, et nous en sommes désolés. C’est pourquoi nous avons pris des mesures immédiates pour sécuriser ces comptes et informer les utilisateurs de ce qui s’est passé. Personne n’a besoin de changer son mot de passe. Par exemple, les personnes qui rencontrent des difficultés pour se reconnecter à Facebook après avoir oublié leur mot de passe doivent consulter notre centre d’aide. Et si quelqu’un souhaite prendre la mesure de précaution consistant à se déconnecter de Facebook, il doit consulter la section «Sécurité et connexion» dans les paramètres. Il répertorie les endroits où les gens sont connectés à Facebook avec une option en un clic pour tous les déconnecter.
