Fin septembre, Facebook comblait une faille de sécurité qui a exposé les données de 50 millions d'internautes, via la fonction « Voir le profil en tant que ». Une faille présente depuis juillet 2017.
La société revient sur ses chiffres. L'accès à 30 millions de comptes a effectivement été récupéré, soit 40 % de moins qu'envisagé au départ, assure Facebook. Pour près de la moitié, des données de localisation et orientations personnelles étaient exposées.
Les pirates contrôlaient certains comptes, qui leur ont permis de récupérer les jetons d'accès de 400 000 membres, en sautant automatiquement de ces comptes à ceux d'amis et ainsi de suite.
Le fil d'actualité, le nom des amis, les groupes auxquels le compte est abonné et le nom des conversations Messenger récentes étaient visibles pour ces profils. Dans le cas des administrateurs de Pages, le dernier message reçu était aussi accessible.
Ces 400 000 comptes ont ensuite servi à accéder aux données de 30 millions de comptes. Pour 15 millions, le nom et les coordonnées étaient visibles.
Pour 14 autres millions, de nombreuses autres données s'ajoutent : « le nom d'utilisateur, le genre, la langue, le statut amoureux, la religion, la ville de naissance et l'actuelle, la date de naissance, les types de terminaux utilisés, le cursus scolaire, l'emploi, les derniers dix endroits visités ou marqués par des tiers, le site web, les Pages ou personnes suivies et les 15 dernières recherches ».
Enfin, les attaquants n'auraient récupéré aucune donnée du dernier million d'utilisateurs, promet le groupe.
Dans une conférence de presse le 12 octobre, le vice-président Guy Rosen a refusé de révéler la moindre information sur les pirates ou leurs intentions. La société aurait interdiction de s'exprimer sur le sujet, dans le cadre de son enquête avec le FBI. Elle souligne tout de même que les attaquants étaient bien organisés, avec l'infrastructure adéquate.
