235 millions de comptes d'utilisateurs Instagram, TikTok et YouTube ont été exposés
Le 1er août, les chercheurs en sécurité de Comparitech ont trouvé une base de données contenant des tonnes d'informations personnelles et accessible de n'importe où dans le monde sans aucune forme d'authentification. Dirigée par Bob Diachenko, l'équipe a analysé le contenu du serveur et a déterminé qu'il contenait un peu plus de 238 millions d'enregistrements. Parmi eux, 192 millions appartenaient à des utilisateurs d'Instagram, environ 42 millions avaient été capturés sur la populaire plateforme de partage de vidéos TikTok, et un peu moins de 4 millions contenaient des informations liées aux comptes YouTube.
Les registres n'étaient pas uniformes dans les informations qu'ils exposaient. Seul un cinquième d'entre eux, par exemple, contenait soit un numéro de téléphone, soit une adresse e-mail. Aucun mot de passe n'a été exposé, bien que beaucoup d'autres informations aient été laissées à emporter. Il comprenait les noms de profil, les vrais noms, les photos de profil, l'âge, le sexe des utilisateurs, ainsi qu'un large éventail de statistiques sur leur engagement avec les médias sociaux et d'autres personnes. Après avoir appris quel type de données a été exposé, le prochain travail de Diachenko était de comprendre comment elles se retrouvaient dans les bases de données qui fuyaient.
Instagram, TikTok et YouTube n'ont pas été piratés
Les utilisateurs de médias sociaux parmi vous seront soulagés d'apprendre que la fuite n'est pas le résultat de cyberattaques coordonnées contre Instagram, TikTok et YouTube. En fait, les données divulguées n'ont pas été volées au sens plein du terme. Il avait été rendu public par les propriétaires de compte eux-mêmes, et il a été récupéré et organisé par un script automatisé.
Au départ, Diachenko était à peu près sûr que les bases de données appartenaient à Deep Social, une société d'analyse aujourd'hui disparue qui travaillait auparavant dans le domaine du marketing d'influence. Il y a quelques années, Deep Social se vantait d'une large base de clients et de collaborations avec de grandes entreprises. À l'été 2018, cependant, Facebook a déclaré à Deep Social qu'il n'était plus autorisé à utiliser l'API des médias sociaux en raison d'une violation des conditions de service. Peu de temps après, la société d'analyse s'est repliée.
Néanmoins, Diachenko a réussi à contacter une personne impliquée dans Deep Social et a révélé la fuite. On lui a dit que son e-mail avait été transmis à une autre société de marketing d'influence du nom de Social Data. Social Data a arrêté le serveur quelques heures à peine après sa découverte et un porte-parole a contacté Comparitech pour s'excuser de la fuite et souligner que Social Data n'a rien de commun avec Deep Social. La présence de «deepsocial» dans les noms des bases de données de Social Data et les similitudes entre les pages About Us sur les sites Internet des deux sociétés sont restées inexpliquées.
Pourquoi la fuite était-elle mauvaise?
Vous pourriez penser que la fuite n'est pas si grave. Après tout, comme le porte-parole de Social Data n'a été que trop heureux de le souligner, les informations collectées dans la base de données peuvent être consultées sur les pages de profil des 238 millions de comptes concernés. Il est accessible au public et, du moins en théorie, les propriétaires le savent très bien. Tout ce que les données sociales ont fait est de les gratter et de les collecter dans une base de données bien organisée. Ceci, remarquez, est à peu près la même chose que Deep Social faisait jusqu'à ce que Facebook lui donne une gifle.
Le raclage de données accessibles au public est contraire aux conditions d'utilisation de la plupart des réseaux sociaux, et il y a une très bonne raison à cela. Des entreprises comme Social Data et Deep Social collectent toutes ces informations, et elles en profitent plus tard en les vendant à des clients qui organisent des campagnes publicitaires ciblées. Il est déjà discutable de savoir si toute cette activité est conforme aux lois et réglementations comme le RGPD de l'UE, par exemple, et il y a également d'autres problèmes.
Les cybercriminels qui souhaitent lancer des campagnes de phishing ciblées contre les utilisateurs de médias sociaux peuvent énormément bénéficier d'une base de données bien organisée qui contient les données des utilisateurs. Le scraping de données est le processus qui crée ces énormes ensembles de données, et c'est pourquoi les géants des médias sociaux comme Facebook ne le tolèrent pas. Ce qui est encore pire, comme Social Data l'a démontré, parfois, ces bases de données ne sont pas stockées de manière sécurisée, ce qui rend la vie des escrocs beaucoup plus facile.
Malheureusement, cet incident est une très bonne illustration du peu de contrôle des utilisateurs sur ce qui se passe avec leurs données une fois qu'elles sont sur leur profil de réseau social. C'est pourquoi, vous devriez probablement être plus prudent avec les détails personnels que vous partagez sur ces plateformes. Si vous utilisez Instagram, TikTok ou YouTube, vous devez également garder à l'esprit qu'il n'est pas encore clair si quelqu'un a accédé aux données divulguées avant qu'elles ne soient supprimées. Vous voudrez peut-être être à l'affût des e-mails ou messages suspects.
