Fuite de données Sina Weibo

Le 19 mars 2020, un vendeur du dark web met en vente une base de données de 538 millions de comptes Sina Weibo — la plus grande plateforme de microblogage de Chine — pour l'équivalent d'environ 250 $. Le chiffre marquant : 172 millions de ces enregistrements contenaient les numéros de téléphone des utilisateurs, rendant le cache précieux pour le spam, le smishing et la fraude à l'identité.

Ce qui s'est passé

Les données auraient été compilées en 2018 lorsque des attaquants ont abusé d'une fonction d'import de contacts / de correspondance de carnet d'adresses. En téléversant de grandes listes de numéros de téléphone, un attaquant pouvait amener la plateforme à renvoyer le profil Weibo correspondant, construisant progressivement une cartographie des numéros de téléphone vers des comptes réels. Il s'agit d'une technique de scraping et d'enrichissement de données plutôt que d'une intrusion serveur — les bases de données de Weibo n'ont pas été compromises au sens classique.

Le vendeur a répertorié des champs incluant identifiants utilisateur Weibo, noms de compte, noms réels, sexe, localisation géographique et numéros de téléphone associés. Notamment, le dump ne contenait pas de mots de passe, ce qui limitait le risque de prise de contrôle directe de comptes mais ne réduisait guère le préjudice de l'exposition de centaines de millions de numéros de téléphone.

Impact

• 538 millions de comptes exposés au total.
• 172 millions de numéros de téléphone liés à des profils identifiables.
• Le prix demandé peu élevé (~250 $) impliquait que les données pouvaient se diffuser largement et à bas coût auprès des spammeurs et fraudeurs.

Le responsable de la sécurité de Weibo de l'époque a publiquement reconnu la fuite sur les réseaux sociaux chinois, l'attribuant à l'abus de correspondance de contacts de 2018 et soulignant qu'aucun mot de passe ni information financière n'était concerné. Des critiques ont relevé qu'en Chine, les numéros de téléphone sont étroitement liés à l'identité réelle par l'enregistrement obligatoire sous nom réel, rendant l'exposition particulièrement sensible.

Réponse

Le 23 mars 2020, le ministère chinois de l'Industrie et des Technologies de l'information (MIIT) a convoqué Weibo, critiqué sa gestion des données personnelles et ordonné la remise en conformité de ses pratiques de protection des données — l'une des actions répressives précoces les plus visibles avant la future loi sur la protection des informations personnelles du pays.

Pourquoi c'est important

La fuite Weibo est un cas d'école d'abus de fonctionnalités légitimes de la plateforme — la correspondance de contacts — pour collecter des données à l'échelle d'une population, sans jamais « pirater » le back-end. Elle a préfiguré une vague de fuites similaires par énumération de numéros de téléphone touchant de grands réseaux sociaux dans le monde et a poussé les régulateurs chinois vers des règles plus strictes sur la manière dont les plateformes exposent leurs fonctions de recherche d'utilisateurs et protègent les données téléphoniques sous nom réel qu'elles sont légalement tenues de collecter.