• Sur Facebook, LinkedIn, Clubhouse… des fuites de données personnelles très problématiques
    https://www.lemonde.fr/pixels/article/2021/04/26/facebook-linkedin-clubhouse-des-fuites-de-donnees-personnelles-tres-problema

    Dans trois cas récents de publications de données personnelles de leurs utilisateurs, ces réseaux sociaux se sont défendus en expliquant qu’il n’y avait pas eu de piratage informatique. Le mois d’avril a été chargé en alertes pour les données personnelles : le 3 avril, une base de données contenant des données relatives à plus de 533 millions de comptes Facebook, dont les numéros de téléphone, était diffusée sur un forum fréquenté par des cybercriminels ; quelques jours plus tard, un membre de ce même forum (...)

    #Clubhouse_ #Facebook #LinkedIn #[fr]Règlement_Général_sur_la_Protection_des_Données_(RGPD)[en]General_Data_Protection_Regulation_(GDPR)[nl]General_Data_Protection_Regulation_(GDPR) #données #hacking #scraping (...)

    ##[fr]Règlement_Général_sur_la_Protection_des_Données__RGPD_[en]General_Data_Protection_Regulation__GDPR_[nl]General_Data_Protection_Regulation__GDPR_ ##CNIL

  • Passe sanitaire : la CNIL appelle à la vigilance sur la conservation des données personnelles lors des contrôles
    https://www.lemonde.fr/pixels/article/2021/04/28/passe-sanitaire-la-cnil-appelle-a-la-vigilance-sur-la-conservation-des-donne

    La Commission nationale informatique et libertés informations estime que les informations affichées sur papier ou dans l’application TousAntiCovid devront être réduites au minimum nécessaire et ne pas être conservées après le contrôle.

    Protection de la vie privée, craintes de surveillance, risques de faux : les questions soulevées par l’annonce d’un passe sanitaire en France et en Europe évoquent les débats ouverts par le lancement des applications de traçage des contacts, au printemps 2020. Les deux dispositifs devraient être utilisés par de nombreux Français, cet été, dans la même application mobile, TousAntiCovid.

    Une importante différence sépare les deux technologies. Quand la fonction de traçage de TousAntiCovid établit sur le téléphone un historique des contacts croisés par les utilisateurs, le passe sanitaire utilise des informations déjà existantes dans les fichiers dont le ministère de la santé est responsable : le système d’information de dépistage populationnel (SI-DEP) pour le résultat des tests, qui sont conservés trois mois, et Vac-SI, pour la liste des personnes vaccinées, dont l’enregistrement est pour l’instant prévu jusqu’à la fin de l’année. Pour les patients, les médecins et les douaniers la procédure reste donc identique, la certification apposée par l’Etat est la seule nouveauté.

    Les informations auxquelles pourront avoir accès les agents habilités à contrôler le passe sanitaire (policiers, gendarmes, douaniers français et étrangers, agents de compagnie aérienne) sont uniquement celles recommandées à tous les Etats membres par la Commission européenne : nom, prénom et date de naissance – pour vérifier que le passe correspond à l’identité de la personne –, suivis de la date, du type de test et du résultat ou de la date et du type de vaccin.Retour ligne automatique
    « Rupture du secret médical »

    « Il ne serait pas normal que le numéro de sécurité sociale soit mentionné sur le document », a averti le comité de contrôle et de liaison (CCL) Covid-19 dans une liste de « points de vigilance » envoyés au gouvernement, le 20 avril. Si l’identifiant est bien présent dans les fichiers SI-DEP et Vac-SI, son affichage n’est pas prévu sur le passe sanitaire. La Commission nationale informatique et libertés (CNIL) a aussi souligné, dans un avis rendu le 22 avril, l’importance de s’assurer que les autorités « qui vérifieront le datamatrix [semblable à un code-barres ou à un QR code] ne doivent, en aucun cas, générer la création d’une base centralisée de données » et les conserver après le contrôle.

    TousAntiCovid permet aussi de n’afficher que l’identité et un datamatrix contenant le reste des informations. Dans ce cas, la machine utilisée lors du contrôle vérifie l’authenticité du test en comparant sa signature à la base de données du gouvernement, puis y applique les règles locales ou nationales (par exemple, un test PCR doit parfois dater de moins de trente-six heures, plus souvent soixante-douze heures). Une validation ou un refus apparaît, comme un feu « rouge » ou « vert », sur l’écran du policier ou du douanier. Une solution qui a la préférence d’Emmanuel Rusch, président du CCL, qui estime que l’affichage d’un résultat ou d’une vaccination constitue déjà une « rupture du secret médical, dont une extension des dérogations doit passer par la loi ».

    En France, la direction générale de la santé a fait appel à de nouveaux partenaires pour certifier au mieux le résultat de test ou la preuve d’un vaccin reçu. L’Imprimerie nationale a été associée aux travaux pour son expertise du standard 2D-Doc, produit par le ministère de l’intérieur et utilisé sur le datamatrix. Le code-barres figure sur le passe sanitaire, mais sera aussi présent, dès l’automne, sur la nouvelle carte nationale d’identité française.

    #TousAntiCovid #QRcode #contactTracing #consentement #données #COVID-19 #santé #CNIL

    ##santé

  • Le pied de nez de Signal à Cellebrite, l’entreprise qui exploite les téléphones pour les forces de l’ordre
    https://www.lemonde.fr/pixels/article/2021/04/22/le-pied-de-nez-de-signal-a-cellebrite-l-entreprise-qui-exploite-les-telephon

    L’un des principaux développeurs de Signal, Moxie Marlinspike, a découvert une vulnérabilité dans des outils utilisés par l’entreprise israélienne. Le jeu du chat et de la souris entre les forces de l’ordre et les entreprises fournissant des services chiffrant les données de leurs utilisateurs se poursuit. La dernière manche vient d’être jouée par Signal : une messagerie sécurisée, considérée par beaucoup comme l’application la plus sûre pour y tenir des discussions, et vers laquelle beaucoup d’utilisateurs (...)

    #Cellebrite #Signal #WhatsApp #cryptage #smartphone #police #écoutes #hacking (...)

    ##surveillance

    • Licenciée par le géant californien des réseaux sociaux, l’experte en analyse de données explique au « Monde » que les équipes du réseau social ne traitent pas assez efficacement les problèmes de manipulation politique.

      En septembre 2020, le site BuzzFeed révélait un document interne publié par une employée de Facebook qui venait alors d’être licenciée. Dans ce texte, Sophie Zhang, une data scientist (spécialiste des données) diplômée de l’université du Michigan et de Princeton, qui travaillait depuis plus de deux ans pour le géant californien, jugeait sévèrement le réseau social, estimant qu’il ne luttait pas assez efficacement contre les opérations de manipulation politique dans le monde entier.

      Sept mois plus tard, Sophie Zhang, qui ne souhaitait initialement pas parler à la presse, a pris la parole publiquement, dans une série d’articles publiés dans le Guardian. Le quotidien britannique a détaillé plusieurs cas dans lesquels Facebook avait tardé ou échoué à agir, lorsque des responsables politiques, au Honduras, en Azerbaïdjan ou en Inde, créaient des faux comptes ou des fausses pages sur le réseau social pour mener des campagnes politiques ou de désinformation.

      Une « nouvelle recrue de la police municipale »

      Arrivée chez Facebook en 2018, Sophie Zhang, que Le Monde a aussi pu interroger mercredi 21 avril, a travaillé jusqu’en 2020 chez Facebook dans l’équipe chargée du « fake engagement ». Le réseau social traque et combat en effet toutes les utilisations frauduleuses de ses plates-formes (Facebook, Instagram, WhatsApp, Messenger, etc.) : par exemple, la création de faux comptes ou de fausses pages, l’achat de « J’aime », ou la publication de faux commentaires en masse.

      « La grande majorité [de cette activité] n’est pas politique », explique Sophie Zhang, dont le travail principal était de traquer les fraudes classiques : un particulier qui achète des faux « J’aime » pour ses propres publications ou une petite entreprise, par exemple.

      Le sujet est sensible depuis les élections américaines de 2016

      La manipulation politique, comme notamment l’utilisation de faux comptes pour faire artificiellement gonfler les publications d’un candidat à une élection, ou publier de faux commentaires à des fins de propagande, sont surveillées de plus près par le réseau social. Le sujet est sensible depuis les élections américaines de 2016, et l’utilisation frauduleuse de la plate-forme par des soutiens de Donald Trump, ou des manipulateurs venus de Russie.

      Les manipulations politiques sont, depuis, traitées chez Facebook par des équipes distinctes, tout comme les opérations frauduleuses les plus sophistiquées, que le réseau social nomme « comportement inauthentique coordonné » (coordinated inauthentic behavior, ou CIB), qui sont surveillées par une équipe spécifique.

      Des manipulations traitées tardivement ou ignorées

      La spécialiste des données ne faisait pas partie de l’équipe recherchant les « comportements inauthentiques coordonnés », mais se voyait plutôt comme « l’équivalent d’une nouvelle recrue de la police municipale d’un petit village » en traquant des fraudes de bas niveau. Sur son temps libre, elle a cependant commencé à découvrir des faux comptes et des fausses pages Facebook qui étaient, dans certains pays, utilisés à des fins politiques, et elle s’est mise à signaler ses découvertes aux équipes de responsables.

      Moins d’un an après son arrivée, en août 2018, Sophie Zhang a découvert que le gouvernement du Honduras utilisait des fausses pages Facebook pour augmenter le nombre de « J’aime » et de réactions sur la page du président Juan Orlando Hernandez. Une utilisation frauduleuse « grossière », « sans même essayer de le cacher ».

      Elle a alors essayé de signaler cette situation à sa hiérarchie. « Dès le départ, j’ai essayé continuellement d’attirer l’attention sur ce problème, explique l’ex-employée. Un des responsables de l’équipe pour l’Amérique latine nous a dit que ce n’était pas surprenant parce que les équipes du gouvernement du Honduras lui avaient déjà dit qu’ils menaient une ferme à trolls pour le président. »

      « La dynamique chez Facebook à ce moment précis était celle-ci : tout le monde était d’accord pour dire que c’était un problème, mais personne ne s’accordait la solution et la personne qui devait s’en charger. »

      Il a finalement fallu neuf mois au réseau social pour agir contre cette opération de manipulation politique après l’alerte donnée par Sophie Zhang.

      La spécialiste des données ne s’est pas arrêtée là et a continué à traquer, en plus de son travail quotidien, les manipulations politiques sur le réseau social. Elle a découvert des activités suspectes et des réseaux potentiels dans de multiples pays, dont l’Azerbaïdjan, les Philippines, ou encore l’Afghanistan.

      Mais elle estime s’être régulièrement heurtée à la bureaucratie de Facebook. Par exemple, elle a découvert en Azerbaidjan une utilisation massive et frauduleuse de fausses pages par le gouvernement :

      « Il leur a fallu plus d’un an pour prendre des mesures, raconte-t-elle. Ils ont fait tomber le réseau frauduleux après mon départ, simplement parce que j’avais fait suffisamment de bruit avant de partir. »

      Pendant ses deux ans chez Facebook, Sophie Zhang a toutefois alerté, en interne, le danger que le réseau social faisait courir aux citoyens des pays concernés en n’agissant pas, ou trop lentement. Ce faisant, elle a tenté d’en parler à des échelons plus hauts dans la hiérarchie.

      « J’ai même personnellement briefé un vice-président de l’entreprise au printemps 2019. J’étais une employée de bas niveau, un cran au-dessus d’une nouvelle recrue sortie de l’université, dans la hiérarchie. C’est comme si un sergent de l’armée française faisait un briefing à Emmanuel Macron. A chaque fois on me disait que ce que j’avais trouvé était très inquiétant, mais que ce n’était peut-être pas la priorité, que nos ressources étaient limitées. »Retour ligne automatique
      « Le prix à payer pour la société, la démocratie »

      Pourquoi cet immobilisme ? Selon l’ex-employée, Facebook renvoie à un manque de ressources humaines pour traiter la masse de dossiers suspects et les enquêtes nécessaires à établir les responsables d’une fraude. Dans un contexte où la bureaucratie interne de l’entreprise californienne, qui compte des dizaines de milliers d’employés dans le monde, est gérée depuis le siège de Facebook, à Menlo Park, pour les dossiers les plus sensibles.

      Ces opérations peuvent prendre des mois et des mois de travail

      Quand « Facebook annonce publiquement ses actions contre des “comportements inauthentiques coordonnés”, cela crée une dynamique dans laquelle l’entreprise veut être absolument certaine de dénoncer les vrais responsables », explique Sophie Zhang. Ces opérations peuvent prendre des mois et des mois de travail, et ralentir la mise en œuvre de mesures concrètes contre les réseaux de faux comptes concernés. « Ces enquêtes demandent du temps pour appréhender pleinement l’étendue des activités frauduleuses » , confirme un porte-parole de l’entreprise, interrogé par Le Monde suite aux informations fournies par Sophie Zhang.

      L’ancienne employée va plus loin : selon elle, les manipulations politiques dans le monde entier ne sont pas réellement une priorité pour Facebook. « L’essentiel de leur travail était fait en réaction à des articles dans la presse américaine, ou par exemple suite à des signalements d’agences gouvernementales ou d’organisations non gouvernementales », explique-t-elle, se définissant comme étant « à l’époque, (…) la principale personne recherchant activement » des réseaux de faux comptes à visée politique.

      « Au bout du compte, Facebook est une entreprise, et son objectif est de gagner de l’argent. (…) Quand des manipulations politiques ont lieu sur Facebook, le prix n’est pas payé par Facebook, il est payé par la société au sens large, par les gouvernements, par la démocratie. Mais ça n’affectera pas le réseau social. Et donc Facebook ne se concentrera que sur les situations qui présentent un risque pour son image. »Retour ligne automatique
      Facebook en « profond désaccord »

      Interrogé, Facebook a répondu être « en profond désaccord avec la description que fait Mme Zhang de nos priorités et de nos efforts pour lutter contre l’utilisation abusive de notre plate-forme. (…) Nous cherchons très activement ces abus dans le monde entier et disposons d’équipes spécialisées concentrées sur ce problème, ce qui transparaît dans les rapports mensuels que nous publions, et qui montrent que plus de cent opérations de “comportement inauthentique coordonné” ont été traitées dans le monde entier », a expliqué au Monde un porte-parole de l’entreprise californienne.

      Le 15 avril, le « Guardian » publiait une enquête montrant que Facebook n’a pas pris de mesures contre certains comptes suspects en Inde

      La transparence et la réalité des mesures prises pour contrer la manipulation politique sur les réseaux sociaux gérés par Facebook restent un sujet sensible, scruté par les autorités et les médias du monde entier. Le 15 avril, le Guardian publiait encore une enquête montrant que Facebook n’a pas pris de mesures contre certains comptes suspects en Inde, après avoir découvert qu’ils étaient liés à un élu du parti au pouvoir. Des informations que Facebook a niées fermement, affirmant ne pas avoir trouvé de preuve de lien direct entre le réseau concerné et l’élu politique en question, et assurant avoir pris des mesures contre ces faux comptes.

      « L’entreprise a progressivement élargi son équipe avec le temps, et dans [la lutte contre les manipulations politiques], ils sont devenus un peu meilleurs, reconnaît aujourd’hui Sophie Zhang, tout en émettant des doutes. Je ne pense pas que Facebook ait apporté des changements dans ce domaine spécifique après mon départ, même si je ne peux pas être à 100 % affirmative. Quand je suis partie, j’ai publié mon mémorandum sur le forum interne en espérant que cela leur mettrait la pression pour changer les choses. »

      Si elle a depuis choisi de s’exprimer dans la presse, c’est suite au constat d’échec de cette stratégie, et avec la volonté de mettre une pression supplémentaire sur l’image publique de l’entreprise. « Je fais cela parce que toutes les autres solutions ont échoué. Je force Facebook à résoudre le problème en utilisant le seul moyen qu’ils semblent respecter » , conclut-elle.

  • Australie : un tribunal sanctionne Google en matière de collecte des données
    https://www.lemonde.fr/pixels/article/2021/04/16/australie-un-tribunal-sanctionne-google-en-matiere-de-collecte-des-donnees_6

    La Cour fédérale australienne a tranché en faveur du régulateur australien de la concurrence, qui reprochait à Google de tromper les usagers d’Android. Une décision de la justice australienne pourrait coûter plusieurs millions de dollars à Google. Le 16 avril, la Cour fédérale d’Australie a considéré que la firme de Mountain View avait trompé des utilisateurs d’Android au sujet de la collecte de données. Le tribunal a donné raison à la Commission australienne de la concurrence et de la consommation (...)

    #Google #Android #smartphone #géolocalisation #procès #données #consentement

  • Mouchards publicitaires sur Android : une plainte déposée en France contre Google
    https://www.lemonde.fr/pixels/article/2021/04/07/mouchards-publicitaires-sur-android-une-plainte-deposee-en-france-contre-goo

    L’ONG NOYB multiplie les procédures contre les « identifiants publicitaires » d’Android et d’iOS, qu’elle estime contraires au droit européen. L’ONG de défense de la vie privée NOYB a fait savoir, dans un communiqué publié ce 6 avril, qu’elle déposait plainte en France contre Google. NOYB conteste en effet la manière dont le système d’exploitation pour mobiles Android, de Google, le plus utilisé dans le monde, assigne à chaque téléphone un identifiant unique, utilisé par de nombreuses applications et autres (...)

    #Android #smartphone #iOS #consentement #[fr]Règlement_Général_sur_la_Protection_des_Données_(RGPD)[en]General_Data_Protection_Regulation_(GDPR)[nl]General_Data_Protection_Regulation_(GDPR) #microtargeting #publicité #NOYB #Apple (...)

    ##[fr]Règlement_Général_sur_la_Protection_des_Données__RGPD_[en]General_Data_Protection_Regulation__GDPR_[nl]General_Data_Protection_Regulation__GDPR_ ##publicité ##Google

  • Facebook n’entend pas informer les utilisateurs concernés par la fuite des données de 533 millions de comptes
    https://www.lemonde.fr/pixels/article/2021/04/07/facebook-n-entend-pas-notifier-les-utilisateurs-concernes-par-la-fuite-des-d

    Le réseau social a expliqué que des données « publiques » avaient été collectées en détournant les outils de la plate-forme avant septembre 2019. La pression continue de monter pour Facebook, moins d’une semaine après la diffusion en ligne d’une base de données massive contenant les numéros de téléphone associés à plusieurs centaines de millions d’utilisateurs. Samedi 3 avril, un internaute a publié quasi gratuitement, sur un forum régulièrement fréquenté par des cybercriminels, une base de données contenant (...)

    #Facebook #données #hacking #CNIL

  • Cinq questions sur la fuite de données concernant plus de 533 millions de comptes Facebook
    https://www.lemonde.fr/pixels/article/2021/04/05/cinq-questions-sur-la-fuite-de-donnees-concernant-plus-de-533-millions-de-co

    Un internaute a mis en ligne, samedi 3 avril, une gigantesque base de données contenant notamment les numéros de téléphone associés à des centaines de millions d’utilisateurs. L’alarme a été sonnée en plein week-end de Pâques, le samedi 3 avril, par un professionnel de la sécurité informatique. Dans une série de tweets massivement partagée, Alon Gal, cofondateur de l’entreprise Hudson Rock, spécialiste de la cybercriminalité, a révélé que les données personnelles liées à plus de 500 millions de comptes (...)

    #Facebook #données #hacking