Facebook affirme que les pirates n'ont pas utilisé de connexions volées sur des sites tiers

NEW YORK (Par Jim Finkle et Angela Moon, Reuters) – Facebook a déclaré mardi que les enquêteurs avaient déterminé que les pirates informatiques ne consultaient pas d'autres sites utilisant l'authentification unique du site de réseautage social dans le cadre d'une cyberattaque massive révélée par la société la semaine dernière.

«Nous avons analysé l'accès des tiers au moment de l'attaque identifiée. Cette enquête n'a révélé aucune preuve que les assaillants aient accédé à des applications utilisant Facebook Login », a déclaré Guy Rosen, vice-président de Facebook chargé de la sécurité, dans un communiqué envoyé à Reuters.

Cette annonce intervient après que Facebook eut révélé la pire violation de sécurité de son histoire la semaine dernière, affirmant que des pirates avaient volé des codes de connexion leur permettant d'accéder à près de 50 millions de comptes Facebook.

Les actions Facebook ont ​​chuté pour un troisième jour mardi, en baisse de 1,9% à 159,33 $.

Rosen avait averti vendredi lors d'une téléconférence que les pirates pourraient également accéder à des sites Web tiers et à des applications permettant à leurs utilisateurs d'accéder à leurs comptes à l'aide de connexions Facebook.

Certains experts en sécurité, y compris un ancien dirigeant de Facebook, ont déclaré que la société avait peint le pire scénario en révélant l'attaque vendredi afin de garantir le respect des nouvelles règles strictes de l'Union européenne en matière de confidentialité, entrées en vigueur fin mai.

Le règlement général de l’UE sur la protection des données, ou RPGD, impose de lourdes sanctions aux entreprises qui ne respectent pas les règles, qui prévoient notamment la divulgation des violations dans les 72 heures qui suivent la découverte. Selon les experts en sécurité, il s’agit d’une fenêtre étroite qui ne laisse pas suffisamment de temps aux enquêteurs pour déterminer l’impact de la violation.

«Impact intéressant du délai de 72 heures prévu par le GDPR: les entreprises qui annoncent des violations avant la fin des enquêtes», a déclaré dans un tweet Alex Stamos, ancien responsable de la sécurité des informations sur Facebook.

Le résultat est que "tout le monde est confus quant à l'impact réel, à de nombreuses rumeurs", a-t-il tweeté, ajoutant qu '"un mois plus tard, la vérité est incluse dans le classement officiel".

L’avertissement initial de la société de réseau social selon lequel les pirates auraient pu accéder à des comptes externes à l’aide de Facebook Login était alarmant, car plus de 42 000 sites Web utilisaient ce service, selon des estimations de chercheurs de l’University of Illinois à Chicago.

Les avertissements ont poussé certains sites à lancer leurs propres enquêtes, craignant que l'attaque ne se répercute sur Internet.

SkyScanner, un site de voyages basé au Royaume-Uni, et TaskRabbit du groupe IKEA, qui fournit des réparations à domicile et l’assemblage de meubles, ont annoncé qu’ils étudieraient l’impact potentiel sur leurs clients.

Le service de téléphonie mobile Uber Technologies a déclaré avoir fermé des sessions actives à l'aide des informations de connexion à Facebook dans le cadre de son enquête.