Nouveau scandale pour Apple et Meta. Les deux entreprises auraient fourni les données de certains utilisateurs à de faux enquêteurs qui utilisaient de vraies adresses mails gouvernementales.
Meta – maison-mère de Facebook, Instagram et WhatsApp – ainsi qu’Apple, ont fourni les données de certains utilisateurs selon Bloomberg qui tiendrait ses informations de trois sources proches du dossier. Les deux entreprises ont envoyé à des hackers les détails des abonnés tels que l’adresse, le numéro de téléphone ainsi que l’adresse IP.
Utilisation de requêtes d’urgence
Ces données ont été fournies dans le cadre de requêtes d’urgence. Les demandes classiques s’accompagnent normalement d’un mandat de perquisition ou d’une citation à comparaître signée par un juge, cependant ce n’est pas nécessaire pour les demandes d’urgence puisqu’il faut aller vite.
Si Meta et Apple sont pointées du doigt dans cette affaire, Snap Inc (Snapchat) a aussi reçu une demande de la part des mêmes hackers mais on ne sait pas vraiment si l’entreprise a fourni les données de ses utilisateurs.
Lapsus$ derrière ces demandes ?
D’après certains chercheurs en cybersécurité, ces demandes émaneraient de mineurs qui sont installés aux Etats-Unis et au Royaume-Uni et parmi eux se trouverait le cerveau derrière Lapsus$ qui a récupéré des données chez Microsoft, Samsung et Nvidia parmi d’autres. Derrière certaines requêtes se cacherait la Recursion Team, qui n’opère plus et dont certains membres ont rejoint plus tard Lapsus$ selon le quotidien.
Les informations obtenues frauduleusement auraient servi à mener des campagnes de harcèlement en ligne, selon l’une des sources. De plus, elles auraient pu être utilisées pour faciliter de la fraude financière en contournant les différentes sécurités de compte.
Pour parvenir à leur fin, les hackers n’ont pas utilisé d’adresse mail standard mais directement les adresses mails d’agents de différents services à travers le monde. Les documents semblaient bien réels avec par exemple l’utilisation de signatures falsifiées de vrais agents.
Une histoire similaire est récemment arrivée à Discord. La plateforme a avoué avoir fourni les données d’un utilisateur en pensant avoir affaire à un vrai enquêteur. Tout était bien réel lors des vérifications mais Discord a appris plus tard que l’adresse mail de l’enquêteur avait été compromise lors d’un hack précédent.
1 100 requêtes chez Apple et 21 700 chez Meta
Le nombre de requêtes d’urgence est finalement assez faible en comparaison de la base d’utilisateurs. Les requêtes frauduleuses sont encore un tout petit pourcentage de celles qui ont obtenu une réponse. Entre juillet et décembre 2020, Apple a reçu 1 162 requêtes d’urgence provenant de 29 pays et a répondu à 93% d’entre elles. Pour Meta, ce sont 21 700 requêtes qui ont été émises entre janvier et juin 2021 à travers le monde, et la firme a répondu à 77% d’entre elles.
Meta explique pouvoir révéler certaines données à des forces de l’ordre lorsqu’un danger immédiat peut concerner l’un de ses utilisateurs comme une tentative de suicide qui serait en cours par exemple. Mais il existe une profusion d’adresses mails qui envoient ces demandes, du simple commissariat à des entités gouvernementales à travers le monde, ce qui complique la tâche des réseaux sociaux qui doivent vérifier la légalité des différentes requêtes, d’autant plus que des donnése d’adresses mails compromises seraient en vente sur le darknet et il serait difficile de s’en prémunir.
