Facebook : 16 000 identifiants d’utilisateurs dérobés !

L’actualité nous démontre encore une fois que les géants de l’internet ne sont pas à l’abri d’attaques informatiques de grande ampleur mettant en péril les données personnelles de leurs utilisateurs. En effet, après Twitter[1] c’est au tour de Facebook d’annoncer le 15 février 2013 avoir été victime d’une attaque malveillante « sophistiquée » détectée courant janvier[2].

Un malware se serait installé sur le PC portable d’employés de Facebook lorsqu’ils se sont connectés au site web d’un développeur. Les pirates auraient pour ce faire utilisé une faille jusqu’ici méconnue du logiciel Java afin d’installer le logiciel malveillant. Le réseau social assure avoir remédié au problème et n’avoir « trouvé aucune preuve que les données utilisateur Facebook ont été compromises. »

Néanmoins, ce même vendredi la société Eset[3] fait état du vol des identifiants de connexion de plus de 16.000 utilisateurs Facebook via un autre logiciel malveillant existant depuis début 2012. «L’objectif du malware était[4] de récupérer ces informations et de les lier aux statistiques utilisateurs des joueurs de Texas HoldEm Poker » précise Eset, qui tient à mettre en garde les utilisateurs contre d’autres applications Facebook qui auraient pu être infectées selon le même mode opératoire.

Coup dur pour le réseau social qui, après le piratage de la Fan Page Facebook de Mark Zuckerberg il y a moins d’un mois, avait ajouté deux nouveaux outils pour prévenir le vol de données d’authentification et le détournement de comptes d’utilisateurs :

–          la possibilité de navigation via le protocole HTTPS, qui permet de crypter les échanges de données entre ordinateurs et serveurs web ;

–          l’ajout d’un «procédé d’identification sociale» (social login), remplaçant le traditionnel système CAPTCHAS.

Ce nouvel incident met encore en exergue le fait que la sécurité des données n’est pas optimale sur Internet compte tenu du nombre d’applications malveillantes ayant pour objet de collecter des données à caractère personnel à des fins illicites.

Afin d’anticiper ce type de risques, nous vous recommandons de :

–          sensibiliser les utilisateurs aux problèmes de sécurité :

• interdire l’accès aux réseaux sociaux avec le matériel professionnel pourra éviter l’aspiration des données sensibles stockées sur celui-ci;
• recommander à vos utilisateurs d’utiliser des mots de passes complexes (au moins 8 caractères, en variant les minuscules et majuscules puis comprenant des nombres et symboles) ;

–          protéger les accès internet à vos applications via des équipements dédiés (protéger le réseau informatique, filtrer les courriers électroniques, offrir une protection contre les programmes malveillants et détecter toute intrusion ou tentative d’intrusion) ;

–          faire preuve d’une vigilance constante (surveillance des activités et monitoring du réseau, étude des logs, audits internes) pour déceler au plus tôt les dysfonctionnements

–          réaliser une veille technologique pour anticiper les incidents et minimiser leurs impacts ;

–          prévoir des clauses de sécurité au sein des contrats avec vos hébergeurs, infogérant ou autre prestataire intervenant directement ou indirectement sur votre système d’information (prévoir des tests d’intrusion, les cryptages utilisés et les moyens techniques mis en œuvre pour protéger le SI contre des piratages, qu’il s’agisse de mesures logicielles ou matérielles).

Claudia WEBER, Avocat Associé et Arthur DUCHESNE, élève avocat

ITLAW Avocats

www.itlaw.fr