Réseaux sociaux en ligne : Hold up sur les données privées

Dans le journal de l'innovation

Certains fans d’Alicia Keys ont été victimes en 2007 d’une des premières attaques informatiques visant les réseaux sociaux, en, l’occurence la page "Myspace" de la chanteuse. © Naja

La fréquentation des réseaux sociaux sur Internet a connu un formidable boom en 2007, Facebook atteignant même les 60 millions d’utilisateurs. Malheureusement, 2007 aura aussi été l’année des premières attaques informatiques contre ces sites riches de données personnelles et professionnelles. L’exploitation commerciale de ces dernières suscite par ailleurs l’inquiétude de la Commission nationale de l’informatique et des libertés (CNIL), ou du Club de la sécurité de l’information français (Clusif), qui mettent en garde contre la diffusion tous azimuts d’informations relevant de la vie privée, à l’insu des internautes.

L’année 2007 aura été marquée par la montée en puissance des réseaux sociaux sur Internet, et plus particulièrement de Facebook, qui a atteint les 60 millions d’utilisateurs.
Ces sites permettent aux inscrits partageant les mêmes centres d’intérêts (Facebook), un même passé scolaire (Copainsdavant), la même activité professionnelle (Viadeo) ou culturelle (Myspace), de se rencontrer et d’échanger grâce à une gamme étendue d’applications originales et populaires.
Mais cette grande fonctionnalité des réseaux sociaux a son revers : « la sécurité et la fonctionnalité sont deux concepts inversement professionnels. Plus un site est fonctionnel, moins il est sécurisé  », expliquait en novembre 2007 Roger Thompson ⁽¹⁾, directeur technique de l’éditeur de solutions de sécurité informatique Exploit Prevent Labs.
Ce dernier venait alors de mettre à jour l’un des tous premiers cas d’attaque informatique ciblant un réseau social, en l’occurrence la page « Myspace » de la chanteuse Alicia Keys. « L’utilisateur se voyait proposer de télécharger un faux codec ⁽²⁾pour pouvoir voir des vidéos. S’il le faisait, il était redirigé vers un site web téléchargeant en fait un cheval de Troie  », précise Danielle Kaminsky, chercheur en criminalité informatique, à l’occasion de la présentation du « Panorama de la cybercriminalité 2007  » du Clusif ⁽³⁾.

Les sites X s’intéressent aux listes de Facebook

Certes, le fait que les réseaux sociaux puissent faire l’objet d’actes de malveillance informatique, au même titre que n’importe quel site internet, n’est pas surprenant en soi. Non, la principale inquiétude tient au fait que, selon le Clusif, « les renseignements que les utilisateurs donnent sur eux sont si nombreux qu’ils permettent la création de profils très détaillés  », avec le risque que ceux-ci tombent dans de mauvaises mains.
En juin 2007, Facebook a ainsi porté plainte contre X pour tentative d’accès frauduleux à son système informatique. Une société du domaine de la pornographie, intéressée par les volumineuses listes de contacts des inscrits de Facebook, aurait tenté de faire main basse sur ces listings, « peut-être pour pouvoir envoyer des spams aux millions d’adresses email qu’ils contiennent  », suggère Danielle Kaminsky.
Par ailleurs, selon elle, « la cartographie détaillée des contacts professionnels des utilisateurs est une bénédiction pour tous ceux qui participent à des opérations de renseignement. Ils n’ont même plus besoin de sortir de chez eux. »
Et ce n’est pas tout. Outre les actes malveillants, nombreux sont ceux qui s’inquiètent de l’exploitation commerciale qui peut être faite des données personnelles des internautes, à leur insu. Certes, dans le cas de Facebook, les nouveaux inscrits sont censés avoir pris connaissance de la charte du site. Celle-ci spécifie que, en échange de la gratuité d’accès, Facebook peut revendre les données personnelles des internautes à des annonceurs, lesquels peuvent ainsi « personnaliser » leurs messages publicitaires.

La CNIL veut plus de transparence sur la destination des données

Mais dans les faits, «  l’utilisateur n’est pas toujours conscient qu’en dévoilant des données sur sa vie privée, ses habitudes de vie, ses loisirs, voire ses opinions politiques ou religieuses, il permet aux sites de se constituer de formidables gisements de données susceptibles de provoquer de multiples sollicitations commerciales », s’insurge la Commission nationale de l’informatique et des libertés (CNIL).
Considérant que « la réputation de l’internaute peut être mise en cause, dans sa sphère privée ou professionnelle  », la CNIL réclame à Facebook une plus grande transparence sur l’utilisation qui est faite des données personnelles, et sur leur durée de conservation.
Une application de Facebook, en particulier, est l’objet de toutes les inquiétudes : le système « Beacon ».
« C’est une application qui alerte automatiquement tous vos contacts de la nature des achats que vous avez effectués en ligne. Où que vous alliez sur Internet, vos amis en sont prévenus. Pourquoi ? Qui peut vouloir partager ces renseignements ? En tout cas, ces informations trop personnelles peuvent un jour se retourner contre les internautes  », juge Danielle Kaminsky.
Face à ces critiques, Facebook propose désormais à ses utilisateurs une option de désactivation de Beacon. Malgré tout, selon Jeff Chester, directeur de l’association consumériste américaine Center fot digital democraty, « Beacon n’est qu’une facette du système de collecte des données mis en place par Facebook, qui ne dit pas tout. ⁽⁴⁾ »

22 janvier 2008, William Bolle

(1) Cité dans le New York Times (2) Codec : logiciel de décodage (3) Clusif : Club de la sécurité de l’information français (4) Cité dans Cnet News.com


et vous ? quels moyens utilisez-vous pour être plus "secure" sur les réseaux de networking ?

et un autre lien sur le sujet dans l'Informaticien