App mobile Facebook – Un article sur le site 01net explique qu’un chercheur en sécurité a mis la main sur une faille « dans le mécanisme de synchronisation entre le téléphone mobile et les serveurs du réseau social ».
L’app mobile Facebook permettait de pirater des photos
Lire l’article en entier sur 01net
10,000 $ pour récompenser le hacker
Laxman Muthiyah, le chercheur en sécurité qui a découvert cette faille sur les serveurs de Facebook a aussitôt notifié ce bug auprès de la multinationale qui s’est empressée de corriger l’erreur et de récompenser l’auteur de la trouvaille avec un petit chèque de 10,000 dollars. Ce hacker responsable avait déjà trouvé un autre bug dans l’interface de programmation de Facebook quelques semaines auparavant.
Cette autre faille permettait d’effacer des photos dans un album photos… Cette découverte lui avait valu une première récompense de 12500 dollars. Laxman Muthiyah a réalisé une vidéo pour montrer comment il s’y prenait :
Des failles vraiment pas rassurantes
En tant que parents, on se doit de protéger sa vie privée et celle de ses enfants sur les réseaux sociaux. Les nombreuses découvertes de faille en tout genre font réflechir et beaucoup se demande quelles vont être les prochains bugs de sécurité du service.
Malgré les communiqués de presse réguliers de la multinationale ainsi que les déclarations du groupe pour amadouer les familles et les rassurer à grand renfort de campagne marketing, beaucoup de parents sont de plus réticents à partager leurs contenus familiaux et à faire confiance au géant américain.
Un historique de failles qui questionne la confiance
Cette faille du mécanisme de synchronisation mobile n’est malheureusement pas un cas isolé dans l’histoire de Facebook. Le réseau social a régulièrement fait l’objet de découvertes de vulnérabilités par des chercheurs en sécurité, certaines corrigées rapidement, d’autres exploitées avant même d’être détectées par la plateforme elle-même.
Le principe du « bug bounty » (récompense pour la découverte de failles), que Facebook utilise depuis plusieurs années, illustre bien la réalité du problème : une entreprise qui paie des centaines de chercheurs indépendants pour trouver les failles de son propre système reconnaît, de fait, qu’elle ne peut pas toutes les anticiper en interne. Pour une plateforme qui héberge les photos de millions de familles et d’enfants, cette approche par correction a posteriori pose question : la faille a existé, potentiellement exploitable, avant sa découverte et sa correction.
Le « bug bounty » : une course permanente entre hackers et ingénieurs
Le programme de récompense pour la découverte de failles (« bug bounty ») mis en place par Facebook attire chaque année des milliers de chercheurs en sécurité du monde entier, motivés par les primes pouvant atteindre plusieurs dizaines de milliers de dollars pour les vulnérabilités les plus critiques. Ce système, aussi utile soit-il pour repérer des failles, révèle une réalité structurelle : la sécurité d’une plateforme de cette taille repose en grande partie sur une course permanente entre les chercheurs qui cherchent à être les premiers à trouver une faille pour la faire corriger, et les acteurs malveillants qui espèrent l’exploiter avant eux.
Entre le moment où une faille apparaît (souvent lors d’une mise à jour du code) et le moment où elle est corrigée, une fenêtre de vulnérabilité existe, dont la durée est par définition inconnue au moment des faits.
Pourquoi la synchronisation mobile est un point sensible
La faille évoquée touchait spécifiquement la synchronisation entre l’application mobile et les serveurs de Facebook — c’est-à-dire précisément le mécanisme qui permet, par exemple, de suggérer d’importer automatiquement les photos de la pellicule d’un smartphone. Ce type de fonctionnalité, pratique en apparence, crée un point d’accès supplémentaire entre les données privées d’un utilisateur (ses photos personnelles, souvent celles de ses enfants) et les serveurs distants de l’entreprise.
Plus une plateforme multiplie les points de synchronisation automatique entre les appareils et le cloud, plus la surface d’attaque potentielle s’élargit. C’est un arbitrage que peu d’utilisateurs perçoivent au moment d’accepter les autorisations demandées par une application mobile.
Ce que ces failles révèlent sur le volume de données en jeu
Chaque nouvelle faille découverte donne un aperçu de l’ampleur des données personnelles centralisées par la plateforme : accès à des albums photos entiers, à la pellicule d’un smartphone, à des informations de localisation, ou encore à des listes de contacts. Cette centralisation extrême, qui fait la force commerciale du réseau social (plus il connaît ses utilisateurs, plus il peut monétiser leur attention), constitue également son principal point de faiblesse en matière de sécurité : une seule faille bien exploitée peut potentiellement affecter des millions de comptes simultanément.
Pour une famille qui y stocke des années de souvenirs photographiques de ses enfants, cette réalité mérite d’être prise en compte au moment de choisir où et comment partager ces contenus.
Des alternatives pour partager avec leurs proches
Si vous avez pour projet de créer un blog sécurisé pour votre famille, sachez qu’il existe des alternatives plus sûres que les réseaux sociaux et surtout, plus adaptées à une utilisation familiale.
Pour partager vos photos de voyage en famille, les photos de baptême de votre bébé ou ses photos de naissance à la maternité ou tout simplement créer le blog privé de votre famille, dirigez-vous plutôt vers un service familial comme Privatefamille.com ou Fammies.com, des plateformes uniquement dédiées à la famille et offrant une protection complète de la vie privée et des contenus.
Ce que change une plateforme à échelle réduite
Une plateforme familiale, dédiée exclusivement au partage privé entre proches, présente une surface d’attaque structurellement différente. Elle ne cherche pas à multiplier les fonctionnalités de synchronisation automatique, les intégrations avec des services tiers, ni à monétiser l’attention de ses utilisateurs par la publicité — ce qui réduit d’autant le nombre de points d’entrée potentiels pour une faille de sécurité. Ce n’est pas une garantie absolue d’invulnérabilité, mais une réduction significative du risque, par la simple différence d’ambition et d’architecture entre les deux types de services.
Contrairement à un réseau social grand public qui doit gérer des centaines de millions de comptes et de synchronisations simultanées, une plateforme familiale privée limite naturellement sa surface d’exposition : moins de fonctionnalités de partage automatique, moins de connexions tierces, et surtout, aucune incitation commerciale à synchroniser vos données avec un maximum de services externes.
Pour des cas concrets d’exploitation de ces failles (usurpation d’identité, vol de photos), consultez notre article sur les témoignages de familles victimes sur les réseaux sociaux.
Les recherches suivantes ont permis de retrouver cet article:
- app mobile facebook permettait de pirater un smartphone
- créer un blog familial sécurisé protéger sa vie privée
- créer le blog privé et sécurisé de ma famille
- reseau social pour créer un espace privé famille
- partage de photo avec app mobile facebook
- app mobile facebook probleme de sécurité
- créer un blog baptême photo avec mot de passe privé
- conseil pour créer un blog de naissance photo privé
- quel site sécurisé pour créer un blog naissance
- comment partager des photos de ses enfants sur Facebook
