Le géant américain a confirmé ce jeudi dans un communiqué que des centaines de millions de mots de passe Facebook et Instagram étaient accessibles par certains employés, perdus dans des jeux de données. Le réseau social ne sait pas lesquels ont été compromis.
Nouvelle fuite de données chez Facebook... Cette fois, le réseau social a laissé traîner sur ses serveurs internes, sans cryptage, les mots de passe Facebook et Instagram de plusieurs centaines de millions d'utilisateurs. Le journaliste spécialisé Brian Krebs a révélé l'affaire sur son site, et forcé le groupe californien à réagir. Facebook avait pourtant connaissance de la fuite depuis janvier.
Le long communiqué officiel de Facebook se cache derrière un rappel de toutes les procédures qu'il a mis en place pour protéger les données. Mais le début est accablant :
"Lors d'un examen de sécurité routinier en janvier, nous avons découvert que certains mots de passe des utilisateurs étaient stockés dans un format lisible sur nos serveurs internes", concède Facebook.
Les mots de passe sont normalement cryptés, et donc illisibles pour les quelques 20.000 ingénieurs qui ont accès aux serveurs. D'après les sources de Brian Krebs, la faille existait déjà en 2012. Pire, sur la période, plus de 2.000 ingénieurs et développeurs ont réalisé environ 9 millions de requêtes pour des données qui contiennent ces mots de passe. Facebook affirme que la faille est désormais réparée.
Aucun moyen de confirmer ou infirmer des abus
Si, comme Facebook le pointe, il n'y a pas de trace d'usage ou d'accès à ces mots de passes de la part des employés du groupe, rien n'indique non plus le contraire. En conséquence, l'entreprise de Mark Zuckerberg est forcée de contacter, par mesure de prévention, des centaines de millions d'utilisateurs de Facebook Lite (version légère, dans les pays où la connectivité est basse), des dizaines de millions d'utilisateurs de Facebook et autant d'utilisateurs de Instagram.
En tout, entre 200 et 600 millions de comptes sont affectés. Le géant des réseaux sociaux espérait ne contacter que les victimes avérées, mais elle ne parvient pas à les reconnaître. Github et Twitter ont également subi récemment des failles similaires, mais dans des proportions bien moindres. De façon préventive, Facebook conseille à ses utilisateurs de changer de mot de passe.
Newsletter
Tech & IA
Chaque jour à 13h, l’essentiel de l’actualité tech.
