Des hackers auraient trompé Apple et Meta pour voler des données personnelles
Lorsque vos données ne sont pas chiffrées de bout en bout (comme les messages envoyés via WhatsApp), celles-ci sont lisibles par le service que vous utilisez, lorsqu’elles sont stockées sur son serveur. Mais en règle générale, les sociétés comme Apple ou Meta ne partagent pas ces données avec des tiers sans le consentement de l’utilisateur.
Il existe toutefois une exception : les demandes des gouvernements. En substance, si un gouvernement demande aux géants américains des informations sur un compte, et qu’il fournit les mandats nécessaires, ceux-ci coopèrent. De plus, il existe une procédure d’urgence qui permet aux forces de l’ordre d’obtenir des informations sur des comptes en ligne, même lorsque cela n’a pas été approuvé par un juge.
Cela n’est pas un secret. Et d’ailleurs, les grandes entreprises du numérique publient chaque année des rapports de transparence afin d’indiquer combien de demandes ont été reçues, et combien ont été traitées.
« En cas d’urgence, les forces de l’ordre peuvent soumettre des demandes sans procédure judiciaire », explique par exemple Meta sur son site, selon Bloomberg. « En fonction des circonstances, nous pouvons divulguer volontairement des informations aux forces de l’ordre lorsque nous avons une raison de bonne foi de croire que l’affaire implique un risque imminent de blessure physique grave ou de mort. »
Meta et Apple auraient été trompés avec de faux documents (et des emails piratés)
Le problème, c’est que ces procédures ne sont pas infaillibles. D’après des révélations publiées par Bloomberg, Meta et Apple auraient été trompés par un groupe de hackers, et auraient ainsi envoyé des données personnelles d’utilisateurs à celui-ci.
Afin de tromper la vigilance de ces géants du numérique, les hackers auraient utilisé de faux documents pour utiliser les procédures d’urgence en place qui ne requièrent pas la signature d’un juge. Mais ce n’est pas tout, puisque le groupe aurait également piraté des emails de services de police. Et les demandes auraient été envoyées depuis ces emails compromis.
Au moment où j’écris cet article, ces révélations de Bloomberg n’ont pas encore été confirmées. Un représentant d’Apple aurait redirigé le média américain vers les directives de la firme. Celles-ci indiquent que dans le cadre des vérifications, un responsable d’un gouvernement ou un agent des forces de l’ordre « peut être contacté et invité à confirmer à Apple que la demande d’urgence était légitime. »
De son côté, Meta a déclaré : « Nous examinons chaque demande de données pour en vérifier la suffisance légale et utilisons des systèmes et des processus avancés pour valider les demandes des forces de l’ordre et détecter les abus. Nous empêchons les comptes compromis connus de faire des demandes et travaillons avec les forces de l’ordre pour répondre aux incidents impliquant des demandes présumées frauduleuses, comme nous l’avons fait dans ce cas. »
En tout cas, l’existence de ces tentatives de vols de données personnelles, en exploitant les procédures utilisées par les gouvernements pour demander des données personnelles, a été confirmée par d’autres entreprises. La plateforme Discord aurait également été ciblée.
« Bien que notre processus de vérification ait confirmé que le compte des forces de l’ordre lui-même était légitime, nous avons appris plus tard qu’il avait été compromis par un acteur malveillant. Nous avons depuis mené une enquête sur cette activité illégale et informé les forces de l’ordre du compte de messagerie compromis », indique cette entreprise.
Concernant les auteurs présumés, Bloomberg indique qu’il pourrait s’agir de mineurs vivant au Royaume-Uni et aux États-Unis. L’un de ces hackers serait par ailleurs aussi le cerveau du groupe Lapsus$, qui a revendiqué les piratages de Samsung, Microsoft, Nvidia et d’autres grandes entreprises.
Par : Bitdefender