Fuite de données chez Facebook

Les catégories de données vérifiées comprennent les dates de naissance, les adresses e-mail, les informations sur l’employeur, le genre, les localisations géographiques, les noms, les numéros de téléphone et les situations amoureuses. L’aspect le plus sensible de cet ensemble de données est la présence très répandue des numéros de téléphone. Les adresses e-mail n’apparaissent que dans une proportion plus réduite des enregistrements, et non pour tous les comptes. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas inclus dans le périmètre public de l’incident. L’association d’un numéro de téléphone et d’un nom offre une base solide pour des messages personnalisés, de fausses notifications d’expédition, de fausses alertes bancaires et des escroqueries à la récupération de compte.

Des champs comme la date de naissance, la localisation et l’employeur apportent des éléments qui rendent le message de l’attaquant crédible. Les informations de profil telles que la situation amoureuse et le genre ne donnent pas directement accès aux comptes financiers. Elles peuvent toutefois être utilisées pour choisir des cibles, exercer une pression sociale ou tenter de persuader une personne. L’absence de mots de passe parmi les catégories de données vérifiées ne signifie pas que le risque a disparu. Si le numéro de téléphone n’a pas changé, l’attaquant peut détenir certaines des informations demandées pour vérifier l’identité sur les écrans de récupération de compte ou lors d’échanges avec le service client.

La date de la fuite est enregistrée au 1er août 2019, la date d’ajout vérifiée au 4 avril 2021 et la date de la dernière modification de la vérification au 6 avril 2021. Le nombre de comptes touchés est établi à 509 458 528. Des chiffres bruts plus élevés peuvent apparaître dans différents articles de presse; le chiffre retenu ici repose sur le nombre d’enregistrements vérifiés pour les écrans de recherche et de notification aux utilisateurs. Les champs divulgués se limitent aux informations de profil et aux coordonnées. Les informations financières, les informations de santé, le contenu des messages privés et les mots de passe ne font pas partie du périmètre vérifié de cet incident.

L’incident trouve son origine dans l’utilisation abusive d’un ancien mécanisme de recherche de personnes qui permettait d’associer des numéros de téléphone à des profils d’utilisateurs. L’entreprise a indiqué avoir modifié ce mécanisme en 2019. Pour autant, le risque ne peut pas être considéré comme révolu, car l’ensemble de données a circulé gratuitement et était largement accessible en 2021. Il contenait des numéros de téléphone, des noms et des informations de profil qui, pour la plupart des utilisateurs, restaient identiques pendant de nombreuses années. Les conséquences en matière de sécurité peuvent donc durer longtemps.

Le risque est le plus élevé pour les personnes dont le numéro de téléphone figure sur leur profil Facebook et qui utilisent toujours ce même numéro. Les personnes qui se servent de leur numéro de téléphone comme élément d’authentification pour leurs services bancaires, leurs comptes cloud, leur messagerie, leurs systèmes professionnels ou leurs démarches auprès de leur opérateur doivent redoubler de prudence. Les utilisateurs dont l’employeur, la localisation ou la date de naissance sont visibles peuvent également être exposés à des tentatives d’ingénierie sociale plus convaincantes. Le risque est plus étendu pour le petit groupe dont l’adresse e-mail a été divulguée : lorsque le numéro de téléphone et l’adresse e-mail sont visibles ensemble, les escrocs peuvent plus facilement viser ces personnes avec des escroqueries à la récupération de compte et à la réinitialisation de mot de passe.

Il existe aussi un risque indirect pour les utilisateurs qui ont cédé leur ancien numéro à une autre personne. Si le numéro figurant dans l’ensemble de données appartient désormais à un autre utilisateur, son nouveau titulaire peut recevoir des appels ou des messages qui ne lui sont pas destinés. L’ancien titulaire du profil peut, quant à lui, subir des confusions d’identité en raison de l’association passée avec ce numéro. Les propriétaires de petites entreprises, les responsables publics, les créateurs de contenu et les salariés qui échangent avec des clients par téléphone sont davantage visibles; les tentatives d’utilisation abusive peuvent donc être plus fréquentes.

La priorité est de vérifier quels comptes utilisent encore votre numéro de téléphone pour l’authentification ou la récupération de compte. Lorsque c’est possible, privilégiez une application d’authentification ou une clé de sécurité matérielle plutôt que les SMS. Sur vos comptes de réseaux sociaux, vérifiez qui peut vous trouver à partir de votre numéro de téléphone, qui a accès aux informations de votre profil et si vos options de récupération de compte sont à jour. Avant de cliquer sur un lien, vérifiez de manière indépendante, par le canal officiel du service concerné, les codes de vérification, les alertes bancaires, les messages de livraison, les offres d’emploi ou les messages vous invitant à contacter l’assistance qui proviennent de personnes inconnues.

Si votre compte auprès de l’opérateur propose des options de sécurité telles que des mots de passe supplémentaires ou une vérification d’identité en boutique pour le remplacement de la carte SIM et la portabilité du numéro, activez-les. Si vous êtes concerné, utilisez également des mots de passe uniques et une authentification à deux facteurs robuste, et consultez l’historique des sessions des comptes sensibles associés à la même adresse e-mail. Fermez les sessions inconnues sur votre compte Facebook, examinez la liste des appareils de confiance et réduisez la visibilité de votre profil. Même si cet incident ne concerne pas les mots de passe, les attaquants peuvent utiliser les informations de profil dont ils disposent comme prétexte pour obtenir des réinitialisations de mot de passe.

Un numéro de téléphone est un moyen de communication pratique, mais il constitue aussi un identifiant durable. Il est donc plus sûr de ne l’utiliser que pour les comptes où il est réellement nécessaire, plutôt que de laisser le même numéro visible sur tous les services. Limitez la visibilité publique des champs tels que la date de naissance, l’employeur, la localisation et la situation amoureuse sur vos profils de réseaux sociaux. En utilisant des canaux de communication différents pour vos comptes professionnels et personnels, vous rendez plus difficile le rapprochement de nombreux comptes à partir d’un seul ensemble de données.

Les équipes en entreprise doivent partir du principe que les numéros de téléphone des salariés et les informations sur leur employeur peuvent circuler à l’extérieur. Elles ne doivent donc pas se fier uniquement aux demandes par téléphone dans les processus d’assistance, de ressources humaines et de finance. Dans les procédures du service client et de l’assistance informatique, des informations faciles à obtenir, comme la date de naissance, le numéro de téléphone ou l’adresse, ne doivent pas être le seul moyen de vérification. À titre individuel, adoptez une routine de protection à long terme : vérifiez régulièrement vos paramètres de confidentialité, mettez à jour vos options de récupération de compte, signalez les SMS suspects et renouvelez vos moyens d’authentification à deux facteurs.

Le résultat ne signifie pas que votre mot de passe a été divulgué ni que quelqu’un a directement accédé à votre compte. Restez néanmoins vigilant face aux messages ciblés susceptibles d’arriver sur votre numéro de téléphone, aux faux appels d’assistance, aux tentatives de détournement de carte SIM et aux escroqueries à la récupération de compte. La priorité est de renforcer l’authentification à deux facteurs des comptes sensibles liés à votre numéro de téléphone, de réduire la visibilité de votre profil et de ne communiquer à personne les codes de vérification que vous recevez sans les avoir demandés.

Si le résultat de la vérification est négatif, cela signifie uniquement qu’aucune correspondance n’a été trouvée dans cet ensemble de données. Des vérifications distinctes peuvent être nécessaires pour d’autres incidents ou des ensembles de données plus récents. Si vous utilisez votre numéro de téléphone depuis des années, il est préférable de prendre vos décisions de sécurité en tenant compte du fait que d’anciennes informations de profil peuvent encore circuler. Si vous avez changé de numéro, vérifiez tout particulièrement que l’ancien a été supprimé des options de récupération de compte et que le nouveau n’est utilisé que pour les services où il est nécessaire. Cette page vise à vous présenter avec mesure les données qui comportent un risque et les démarches à effectuer en priorité.