Le 4 octobre 2021, alors que Facebook subissait l’une des plus grandes pannes de son histoire, plusieurs médias s’inquiétaient d’un prétendu « hack » visant le réseau social. Les informations personnelles de 1,5 milliard de comptes Facebook auraient été mises en vente sur le net, a alerté le site PrivacyAffairs.
Ces données auraient été obtenues via le scraping de pages Facebook. Elles constitueraient « la plus grosse quantité de données Facebook jamais mise en circulation à ce jour », selon le média anglophone. Cependant, plusieurs éléments font douter de la véracité de cette histoire.
Un fichier en vente depuis longtemps
Si PrivacyAffairs s’est ému de la mise en vente d’une telle base de données le 4 octobre 2021, le fichier est supposé être en vente sur le web depuis bien plus longtemps.
En remontant les pages du forum d’où est partie l’affaire, on peut s’apercevoir que le tout premier message concernant la mise en vente d’un tel fichier date du 22 septembre 2021. Cela ferait donc quasiment deux semaines qu’un fichier contenant des informations personnelles sur plus de la moitié des comptes Facebook du monde serait en vente librement sur internet. Sans que cela n’ait provoqué de réaction nulle part.
En creusant un peu plus loin, on peut retrouver des traces encore plus anciennes de ce fichier. Marc Ruef, un spécialiste en cybersécurité, expliquait dès le 7 septembre avoir croisé une offre similaire sur le darkweb.
Le commerce de base de données volées n’est pas une pratique dont beaucoup de personnes se vantent. Cependant, qu’une telle offre fasse le tour du web depuis un mois sans que cela n’inquiète personne parait étonnant.
Des accusations de scam nombreuses
Pour ne rien arranger, sur le forum où est mis en vente le fichier, de très nombreux habitués crient à l’arnaque. Un membre explique avoir viré l’argent au vendeur le 9 septembre 2021, mais n’avoir jamais rien reçu depuis. Sur un autre forum, on trouve le témoignage similaire d’un autre internaute. Ce dernier explique s’être fait arnaquer à hauteur de 1 000 €, par l’entreprise derrière tout cela. Après le paiement, le vendeur a tout simplement cessé de répondre à ces messages. « Je ne crois pas qu’ils aient jamais eu l’intention de fournir la liste d’adresses e-mail », écrit l’acheteur dépité.
« Je ne crois pas qu’ils aient jamais eu l’intention de fournir la liste d’adresses e-mail »
Les arnaques étant nombreuses dans le domaine, beaucoup de forums attribuent des scores de « confiance » aux membres qui partagent de tels fichiers. Dans le cas qui nous intéresse, le vendeur semble avoir très mauvaise réputation. Plusieurs personnes l’accusent d’arnaque, directement sur son profil. En parallèle, des comptes ayant beaucoup de poids dénoncent « une offre pas fiable du tout ».
Un fichier gargantuesque
Enfin, la taille du fichier elle-même sème le doute sur son authenticité. Même avec des outils de scraping performants et les ressources d’une entreprise, il n’est pas aisé de constituer une base de données de cette taille-là. Surtout que, d’après l’annonce trouvée sur le darkweb, l’outil a cessé de fonctionner depuis début septembre.
Récolter les mails de la moitié des comptes Facebook dans le monde relèverait déjà de l’exploit. Réussir à également obtenir des relevés de localisation et des numéros de téléphone parait presque irréaliste.
Il est possible que cette base de données, si elle existe vraiment, soit composée d’informations issues d’autres piratages. Cela réduirait considérablement sa valeur puisqu’une partie des informations seraient déjà disponibles autre part sur le net. Probablement pour bien moins cher d’ailleurs.
Pour le dire simplement, ce fichier semble trop gros pour être vrai. Cette affaire nous rappelle cependant qu’il faut être prudent lorsqu’on publie des informations personnelles sur internet.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
