Fuite de 533 M d'enregistrements Facebook collectés par scraping

Le 3 avril 2021, un jeu de données contenant les informations personnelles de 533 millions d'utilisateurs Facebook répartis dans 106 pays a été publié gratuitement sur un forum de piratage de bas niveau. Révélé publiquement par le chercheur en sécurité Alon Gal, ce trésor comprenait des numéros de téléphone, des identifiants Facebook, des noms complets, des localisations, des dates de naissance, des statuts relationnels et — pour une partie — des adresses e-mail. Il représentait environ 20 % de la base d'utilisateurs de Facebook à l'époque.

Ce qui s'est passé

Les données n'ont pas été dérobées lors d'une intrusion classique. Elles ont été collectées par scraping en détournant la fonction d'importateur de contacts de Facebook, conçue pour aider les utilisateurs à retrouver des amis en téléversant leurs contacts téléphoniques. En alimentant l'importateur avec d'énormes listes de numéros de téléphone et en récoltant les données de profil correspondantes renvoyées, les attaquants ont pu associer des millions de numéros de téléphone à de véritables comptes Facebook et à leurs champs de profil public.

Le scraping a eu lieu avant septembre 2019, date à laquelle Facebook a identifié la faille et corrigé le comportement de l'importateur de contacts. Le jeu de données a ensuite circulé de manière privée sur les marchés criminels — accessible à un moment via un robot de recherche payant sur Telegram — avant d'être divulgué en intégralité et gratuitement en avril 2021.

Ce qui a été exposé

Les enregistrements comprenaient, selon l'utilisateur :

• Numéro de téléphone (le champ central et le plus dommageable, les numéros de téléphone étant rarement modifiés et largement utilisés pour la récupération de compte et le ciblage par SIM-swapping).
• Identifiant Facebook, nom complet, sexe et localisation/ville d'origine.
• Date de naissance et statut relationnel.
• Adresse e-mail pour une minorité d'enregistrements.

Il est à noter que les mots de passe et les données financières ne faisaient pas partie du jeu de données.

Impact

• 533 millions d'utilisateurs exposés, dont environ 32 millions aux États-Unis, 11 millions au Royaume-Uni et des millions d'autres en Europe, au Moyen-Orient et en Asie.
• Les numéros de téléphone étant des identifiants durables, la fuite a alimenté des campagnes de smishing, hameçonnage et SIM-swapping pendant des années.
• Facebook a refusé de notifier les personnes concernées, arguant que les données avaient été collectées par scraping et non piratées — une position largement critiquée.
• En novembre 2022, la Commission irlandaise de protection des données a infligé à Meta une amende de 265 millions d'euros (~290 millions de dollars) pour ne pas avoir mis en œuvre de mesures de protection des données dès la conception et par défaut, conformément au RGPD.

Pourquoi c'est important

L'incident a tracé une ligne publique nette entre le « piratage » et le « scraping » — tout en révélant à quel point cette distinction importe peu aux utilisateurs concernés. Que les données soient exfiltrées par une intrusion ou systématiquement extraites via une fonction légitime détournée, le préjudice est identique une fois les données diffusées publiquement. L'affaire a établi que les fonctions de recherche énumérables constituent une surface de violation à part entière, que les plateformes peuvent être tenues responsables au titre du RGPD pour ne pas avoir conçu de protection contre le scraping de masse, et que les numéros de téléphone — longtemps considérés comme peu sensibles — figurent en réalité parmi les identifiants les plus durables et exploitables qu'une plateforme puisse divulguer.