Grosse brèche dans les données de Facebook : 50 millions de comptes concernés

Facebook a subi une atteinte à la protection des données touchant près de 50 millions de comptes. En outre, 40 millions d’autres ont été réinitialisés par “mesure de précaution”.

Que s’est-il passé ?

Le vice-président de la gestion des produits de Facebook, Guy Rosen, a déclaré que la brèche a été découverte le mardi 25 septembre.

Les attaquants ont exploité une vulnérabilité de la fonctionnalité “View As” de Facebook pour voler les jetons d’accès, qui sont les clés qui vous permettent de rester connecté à Facebook, vous n’avez donc pas besoin de ressaisir votre mot de passe à chaque fois que vous utilisez l’application.

Rosen dit que la vulnérabilité est maintenant réparée.

Nous avons réinitialisé les jetons d’accès des quelque 50 millions de comptes que nous savons touchés pour protéger leur sécurité. Nous prenons également la précaution de réinitialiser les jetons d’accès de 40 millions d’autres comptes qui ont fait l’objet d’une recherche “View As” l’an dernier.

Les personnes concernées devront désormais se reconnecter à Facebook et à toutes les applications qui utilisent la connexion Facebook.

Facebook a également désactivé la fonction “Afficher sous” pendant l’enquête. Cette fonction vous permet de voir ce qu’un ami en particulier, ou des personnes avec qui vous n’êtes pas amis, peuvent voir sur votre profil, comme des photos ou des messages anciens.

Ce n’est encore qu’un début, mais Facebook dit qu’il semble que le trou a été ouvert lorsque les développeurs ont modifié la fonction de téléchargement de vidéos en juillet 2017. Les attaquants ont ensuite volé un jeton d’accès pour un compte, puis utilisé ce compte pour faire pivoter vers d’autres comptes et voler d’autres jetons.

Facebook indique qu’il ne sait pas encore si des comptes ont été utilisés à mauvais escient ou si des renseignements ont été consultés.

Mais les jetons d’accès sont ce que Facebook utilise pour vous authentifier, donc si vous étiez affecté, vous devriez supposer que les attaquants avaient accès à toutes vos données – tout ce que vous pouvez voir, lire, télécharger ou modifier lorsque vous vous connectez à Facebook.

Les bugs graves sur Facebook ne sont pas nouveaux mais nous en entendons généralement parler par le biais du programme de primes aux bugs de l’entreprise.

Facebook ne sait pas qui est à l’origine de cette attaque, ni pourquoi, mais celui qui l’a commise a refusé des primes très lucratives.

Que faire ?

Si vous avez été déconnecté de force par Facebook, la déconnexion forcée aura automatiquement invalidé tous les jetons d’accès existants pour votre compte.

Rosen dit que personne n’a besoin de changer son mot de passe.

Les jetons d’accès sont générés au hasard après que Facebook ait validé votre mot de passe lors de votre connexion. Il n’y a aucun moyen de revenir en arrière à partir d’un jeton d’accès pour récupérer votre mot de passe.

Que vous soyez concerné ou non, par mesure de précaution, vous pouvez choisir de vous déconnecter de toutes vos sessions Facebook.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

*

code