Réseaux sociaux : des millions de données personnelles exposées

Il ne s’agit pas d’une fuite ni d’un piratage

Une base de données contenant des informations sur 235 millions de membres d’Instagram, TikTok et YouTube avait été publiée en libre accès sur Internet, avant d’être retirée. Il ne s’agit pas d’une fuite ni d’un piratage des serveurs de ces réseaux sociaux mais d’une base de données où étaient rassemblées les informations publiquement disponibles sur les profils : nom et prénom ou pseudo, avatar, âge, sexe, bio (lorsqu’il y en avait une), date de la dernière publication publiquement disponible et nombre de followers.

Ces informations avaient été rassemblées au moyen d’une technique qui porte le nom de « scraping » : il s’agit d’élaborer un petit logiciel qui ira visiter des milliers voire des millions de profils et récupérer les informations publiquement disponibles sur ceux-ci. Cette pratique n’est pas illégale dans la mesure où le logiciel récupère les informations que leur propriétaire avait lui-même choisi de rendre publiquement disponibles (un tribunal américain l’a d’ailleurs confirmé en octobre 2019). Mais les trois réseaux sociaux en question interdisent cette pratique dans leurs Conditions générales d’utilisation.

Un risque d’usurpation d’identité

Alors, en quoi l’existence en libre accès d’une telle base de données peut-elle être préjudiciable ? Étant téléchargeable par toute personne, elle peut tomber entre les mains de délinquants qui pourraient l’utiliser pour créer de faux profils sur les réseaux sociaux. Imaginez quelqu’un qui a un compte Instagram mais pas de compte TikTok : des escrocs pourraient en créer un en utilisant le nom, l’avatar et la bio de la victime. Des personnes qui connaissent la victime l’ajouteraient ensuite en amis, après quoi l’escroc pourrait leur envoyer des liens phishing (qu’ils ouvriront certainement, étant persuadés qu’ils sont envoyés par cette personne, en qui ils ont confiance). L’escroc pourrait aussi, au nom de la victime, solliciter leur aide sur le plan financier par exemple en leur demandant de faire un virement sur un compte qui lui appartient.

Ayant découvert cette base de données, Bob Diachenko, le chercheur en chef au sein de la société Comparitech, spécialisée en sécurité informatique, a cherché à joindre son créateur. La société à l’origine de la base de données a depuis cessé son activité, mais il a tout de même reçu une réponse l’assurant que la démarche n’était pas illégale. Quelques heures après, la base de données a été rendue indisponible.

À lire aussi Top 10 des applis pour mieux s’organiser