Profitant d’une faille, des pirates ont potentiellement accès aux comptes de millions de membres. Le réseau social est encore dans le flou et a déconnecté par précaution 90 millions de comptes.

Nouvelle crise majeure pour Facebook, une nouvelle fois cible de pirates. L’attaque est sans précédent et laissera des traces. Lors d’une conférence de presse en urgence, Facebook a annoncé vendredi 28 septembre qu’un peu moins de 50 millions de comptes étaient potentiellement compromis via l’exploitation d’une faille.

Le principal problème que Facebook n’est pas capable de dire ce qui s’est vraiment passé en terme de compromission, c’est à dire si les pirates ont pris ou pas le contrôle des comptes visés (ou en partie), si des informations personnelles ont été détournées ou pas. Une enquête avec le FBI vient d’être lancée.

Si la faille a été corrigée dans la nuit du jeudi 27 au vendredi 28 septembre, la firme a décidé de déconnecter de force les 50 millions de comptes affectés ainsi que 40 millions de comptes supplémentaires, « par précaution ». En France notamment, de nombreux utilisateurs l’ont constaté et ont du valider à nouveau leurs mots de passe.

Facebook précise qu’il est à ce stade inutile de modifier son mot de passe, l’opération de déconnexion forcée étant suffisante, assure le réseau social. Une notification est affichée depuis ce matin sur le mur des comptes concernés, en accord avec le RGPD.

Facebook explique que les pirates ont eu accès à un peu moins de 50 millions de « tokens » (« jetons »), soit la clé stockée dans l’appareil connecté à Facebook. « En déconnectant les utilisateurs, nous empêchons les malfaiteurs d’avoir accès à leurs comptes au moyen de ces tokens », ajoute Facebook.

Applications tierces également concernées

Concrètement, la faille (en fait, trois vulnérabilités) se situe dans la fonction « Aperçu de mon profil », qui permet à un membre de visualiser sa page comme un visiteur qui n’est pas encore « ami » avec lui. Cette fonction est désactivée depuis vendredi soir.

Problème de taille, le token en question peut aussi être utilisé pour s’identifier dans d’autres services de la galaxie Facebook (comme Instagram) ou même des sites tiers qui permettent de s’authentifier via son compte Facebook.

« Nous continuons à améliorer nos défenses. Nous faisons l’objet d’attaques constantes de la part de gens qui tentent de pirater des comptes ou de récupérer des informations personnelles », a déclaré Mark Zuckerberg.

Après l’affaire Cambridge Analytica et son pompage « légal » des données, cette nouvelle fuite de données suite à des failles dans le code risque encore d’éloigner les utilisateurs du réseau social. Et de tendre encore plus les relation du géant américain avec les autorités.