Faille de sécurité, données privées, mot de passe... Cinq questions sur le piratage de 50 millions de comptes Facebook

Une attaque de grande ampleur chez Facebook. Vendredi 28 septembre, l'entreprise américaine a annoncé que "presque 50 millions de comptes" ont été piratés à cause d'une faille de sécurité. Franceinfo fait le point sur ce nouveau scandale qui ravive les critiques contre le premier réseau social mondial.

1Quelle faille de sécurité a été utilisée par les hackers ?

Les pirates se sont introduits dans des millions de comptes Facebook par la fonctionnalité "aperçu du profil en tant que", qui permet de regarder son propre profil comme si on était un autre utilisateur. Grâce à la "combinaison de trois bugs", ils ont pu accéder à des clés numériques de connexion ("tokens" en anglais). Ces dernières permettent aux utilisateurs de rester connectés sans avoir à rentrer leurs mots de passe à chaque fois, a expliqué Facebook.

Résultat : les hackers ont "pu utiliser le compte comme s'ils en étaient les titulaires", a relevé un responsable de l'entreprise, et donc se connecter à d'autres applications ou sites internet via les comptes piratés. C'est le cas par exemple, des comptes de l'application Instagram, lorsqu'il est lié à un compte Facebook. Cette faille a été détectée mardi 25 septembre et a été résolue deux jours plus tard, rapporte l'entreprise.

2Quelles informations ont pu être volées ?

Les investigations de Facebook, avec le FBI, sont toujours en cours pour établir l'ampleur de ce piratage. Il semblerait que les hackers aient seulement eu accès aux informations du profil : noms, genre, ville, études, emploi, situation amoureuse...

Selon les premières constatations, les pirates n'auraient pas eu accès aux messages privés, ni pu poster des publications. L'entreprise assure que les mots de passe n'ont pas été compromis, pas plus que des informations bancaires. Les utilisateurs de la messagerie WhatsApp, qui appartient à Facebook, n'ont pas été affectés non plus.

3Comment savoir si mon compte a été affecté ?

Difficile de savoir. Votre compte Facebook a-t-il été déconnecté automatiquement vendredi ? Si c'est le cas, il a peut-être été affecté par ce piratage de grande ampleur. Cependant, Facebook a également déconnecté 40 millions de comptes supplémentaires par mesure de sécurité. Au total, ce sont donc 90 millions d'utilisateurs, dont de nombreux Français, qui ont été contraints de se déconnecter du réseau social. Impossible de déterminer pour autant s'il s'agissait d'une déconnexion "préventive" ou liée à un piratage réel de votre compte. 

4Est-ce que je dois changer de mot de passe ?

Il est inutile de changer le mot de passe de son compte, selon le vice-président de Facebook chargé des questions de sécurité, Guy Rosen, interrogé par Le Monde. Ce dernier a assuré que l’opération de déconnexion forcée était suffisante. Les internautes concernés verront par ailleurs très prochainement un message d’information s’afficher sur la page d’accueil de Facebook.

Si vous n'avez pas été déconnecté automatiquement par Facebook, vous pouvez toujours le faire manuellement de tout vos appareils. Pour cela, il existe une option particulière dans "Paramètres", puis "Sécurité et connexion". Il suffit alors de cliquer sur "Se déconnecter de toutes les sessions", puis se reconnecter.

5Quelle est la réaction de Facebook ?

"Nous sommes désolés", a réagi le patron de Facebook, lors d'une conférence téléphonique, vendredi. Il faut dire que les politiques de tous bords n'ont pas tardé à demander des explications. Le sénateur démocrate de Virginie, Mark Warner, a qualifié ce piratage de "profondément inquiétant". En France, le secrétaire d'Etat au numérique, Mounir Mahjoubi, a "demandé à Facebook France d’apporter des précisions aux utilisateurs français au plus vite".

Comme 90 millions de personnes aujourd'hui, j’ai été déconnecté par facebook suite au bug massif qui menace nos données personnelles. Les origines et les conséquences restent floues. J’ai demandé à facebook France d’apporter des précisions aux utilisateurs français au plus vite. pic.twitter.com/iDYkV9rtKD

— Mounir Mahjoubi (@mounir) 28 septembre 2018

L'entreprise américaine a aussi décidé de suspendre la fonctionnalité "Aperçu de mon profil", à l'origine de ce piratage. Une enquête interne, en collaboration avec le FBI, vient tout juste de débuter pour établir la portée de cette opération exceptionnelle.