du 04 avril 2019
Date

Choisir une autre édition

Facebook : encore des fuites de données et demande du mot de passe de votre messagerie email

La société UpGuard, spécialisée dans la sécurité informatique, explique avoir identifié deux bases de données contenant des informations sensibles et librement accessibles sur des serveurs Amazon S3.

La première provient de chez Cultura Colectiva. Elle pèse 146 Go et contient des informations personnelles de pas moins de 540 millions d'utilisateurs : commentaires, j'aime, réactions, informations sur les comptes, etc.

La seconde brèche concerne le service At the Pool qui n'est plus actif depuis 2014. Stockée là encore sur un serveur S3, la base de données comprend de nombreuses informations sur des comptes Facebook, les amis, j'aime, etc., ainsi que 22 000 mots de passe en clair. Selon UpGuard ces derniers seraient rattachés aux comptes At The Pool, pas directement à Facebook.

Les chercheurs affirment avoir contacté Cultura Colectiva deux fois en janvier, sans aucune réponse. Ils ont joint Amazon en janvier et en février avec réponse à la clé, mais sans bloquer l'accès aux fichiers. Il faudra attendre le 3 avril au matin qu'un journaliste de Bloomberg contacte Amazon pour que l'accès soit coupé. Concernant At The Pool, les informations ont été rendues inaccessibles pendant qu'UpGuard menait son enquête et avant que les chercheurs ne contactent qui que soit.

Mais ce n'est pas tout. Comme le rapporte Ars Technica, Facebook a demandé à certains de ses nouveaux utilisateurs d'entrer le mot de passe de leur messagerie « pour confirmer leur adresse email ». Ce genre de demande, qui défie toutes les règles de sécurité, semble arriver avec certains services uniquement, notamment Yanex et GMX, mais pas Gmail.

Un porte-parole de Facebook confirme, mais ajoute que la société ne stocke pas ces mots de passe… un argument bien trop léger face à ce genre de pratiques, compte tenu de la réputation de la société en la matière. Pour rappel, elle a récemment reconnu avoir stocké en clair des mots de passe de « centaines de millions d'utilisateurs ».

Quoi qu'il en soit, le réseau social ajoute avoir mis fin à cette pratique.

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Bouygues Telecom vient de renouveler ses promotions sur sa marque mobile « low cost », avec de nouvelles « Séries spéciales » valables jusqu'au 29 avril. Deux forfaits sont ainsi proposés au même tarif de 16,99 euros par mois , mais avec des options différentes.

Le premier propose 50 Go de 4G en France avec « Internet illimité le week-end », 10 Go de roaming en Europe, dans les DOM, aux États-Unis et au Canada.

Le second grimpe à 80 Go de 4G en France métropolitaine, mais le roaming est moins important : 8 Go seulement et uniquement en Europe et dans les DOM.

Si le second est une nouveauté, ce n'est pas le cas du premier (50 Go) qui était déjà proposé avec les mêmes options (FIS de l'ancien et du nouveau)… pour 14,99 euros par mois. Le terme « série spéciale » semble bien choisi.

Notez au passage que le forfait B&You en promotion à 9,99 euros par mois est reconduit, mais avec deux fois moins de data : 20 Go au lieu de 40 Go auparavant, toujours avec 4 Go en roaming.

Pour rappel, vous pouvez retrouver l'ensemble des forfaits des opérateurs sur notre site dédié : Tous les Forfaits.

Copié dans le presse-papier !

La société a récemment déposé son dossier d'introduction en bourse, mais sans dévoiler la date de la première cotation ni le montant de la valorisation visé. D'après certains, il pourrait être aux alentours de 100 milliards de dollars.

En attendant, le VTC annonce une bonne nouvelle : Toyota et sa filiale DENSO vont investir 667 millions de dollars, tandis que SoftBank va injecter 333 millions. Toyota s'est également engagé à débourser 300 millions de dollars de plus sur les trois prochaines années.

Dans tous les cas, les fonds sont pour Uber ATG (Advanced Technologies Group), une branche d'Uber désormais valorisée 7,25 milliards de dollars. Le but de l'opération est « d'accélérer le développement et la commercialisation de services de covoiturage automatisés ».

C'est donc un signe fort pour les véhicules autonomes alors qu'une des voitures d'Uber était impliquée dans un accident mortel en mars dernier.

Copié dans le presse-papier !

Comme prévu, Amazon propose une version gratuite avec publicité de son service Music, mais uniquement sur Alexa aux États-Unis pour le moment.

Il permet d'écouter des listes de lecture et des milliers de « stations » basées sur un artiste ou un style par exemple. Rien n'est précisé sur une ouverture au reste du monde pour le moment.

Google fait de même avec YouTube Music sur Google Home. « “Ok Google, mets de la musique” vous permettra d’écouter gratuitement, sur l’ensemble de la gamme d’enceintes Google Home, des contenus musicaux via YouTube Music », mais « l’écoute sera quelquefois interrompue par des coupures publicitaires de 30 secondes ».

Cette fonctionnalité est disponible dans de nombreux pays, notamment en France.

Copié dans le presse-papier !

Depuis fin 2017, les deux géants se livrent une guerre. Comme Amazon ne vend pas certains produits Google (Chromecast, Home, Nest) et ne permet pas aux utilisateurs Prime Video d'utiliser Google Cast, le moteur de recherche avait décidé de retirer YouTube de l'Echo Show et des Fire TV Stick. Bref, les utilisateurs trinquent encore.

Mais la situation va changer. Dans un communiqué, Amazon explique que les applications officielles YouTube et YouTube Kids arrivent sur les Fire TV et les télévisions Fire TV Edition, tandis que son service de vidéo en streaming Prime Video va prendre en charge Chromecast et Android TV.

Les changements devraient être opérationnels au cours des prochains mois.

Copié dans le presse-papier !

Mercredi, la Direction interministérielle du numérique et du système d’information et de communication de l’Etat (DINSIC) lançait son application Tchap destinée « aux communications des agents de l’État, pour échanger des informations sensibles ou moins sensibles ».

Problème, dès jeudi le compte Elliot Alderson (alias Baptiste Robert) monte rapidement au créneau : « Je viens de regarder #Tchap la nouvelle appli sécurisé du gouvernement français. Et, put*** le résultat est horrible ». Il n'en dira pas beaucoup plus.

L'information est remontée rapidement jusqu'aux équipes de Matrix (dont se sert Tchap), qui indiquent être au courant d'un bug de sécurité sur le déploiement français de cette application. La nuance est importante.

« Ce n’est pas un bug du protocole, mais de l'implémentation, qui a affecté leur configuration », affirment les développeurs. Dans un autre Tweet, Matrix en rajoute une couche : « le problème est spécifique au déploiement de la DINSIC et nous travaillons avec eux pour déployer un correctif ».

Un correctif a été déployé dans la foulée. Il permet de « limiter correctement l’enregistrement à un domaine précis » lors de l'inscription. Des détails techniques sont disponibles par ici et dans ce dépôt GitHub.

Matrix en profite pour tacler au passage Baptiste Robert en ajoutant qu'un message privé aurait été apprécié en amont, notamment pour assurer une bonne promotion des solutions FLOSS (Free/Libre Open Source Software) auprès des gouvernements.

Dans tous les cas, Matrix affirme que personne d'autre que Baptiste Robert n'a exploité cette vulnérabilité. Elle en profite pour revérifier les autres déploiements, à la recherche d'un éventuel problème similaire.

Cela reste un coup dur pour Matrix (et Tchap), notamment après le piratage d'il y a quelques jours seulement.