Facebook révèle une nouvelle faille permettant d'accéder aux données des utilisateurs. Des développeurs partenaires du réseau social ont pu consulter les informations personnelles de nombreux usagers pendant près de trois mois. Facebook n'avait pas révoqué leurs autorisations d'accès.

Après le scandale du Cambridge Analytica et une amende de 5 milliards de dollars, Facebook avait pris des mesures afin de garantir le respect de la vie privée  des utilisateurs. Il y  a visiblement encore du travail à faire, puisqu'une centaine de développeurs a pu profiter d'une faille pour accéder à des données personnelles.

Sur le blog du réseau social, Konstantinos Papamiltiadis, directeur des programmes et plateformes de développement de Facebook, explique que ces partenaires ont pu consulter ces informations librement grâce à une faille présente dans une API, une interface de programmation utilisée notamment par les administrateurs de groupes Facebook.

Il s'avère que les administrateurs de groupes ont le droit de demander plusieurs outils à Facebook pour gérer leurs publications, ou améliorer le design de leurs pages par exemple. Pour obtenir ces aides, les administrateurs ont l'obligation de fournir au réseau social toutes les données personnelles des différents membres du groupe : nom et prénom, date de naissance, photo de profil et bien d'autres informations.

Facebook préfère parler d'un regrettable oubli

Or, les développeurs partenaires avaient le droit de consulter ces données d'utilisateurs jusqu'en avril 2018. Passé ce délai, les autorisations devaient normalement être levées. Malheureusement, Facebook a oublié de le faire. D'après le réseau social, les développeurs ont gardé cet accès pendant plus de 18 mois. 11 d'entre eux consultaient encore ces informations durant ces 60 derniers jours. “Bien que nous n'ayons trouvé aucune preuve d'abus, nous leur demanderons de supprimer toutes les données de membre qu'ils auraient pu conserver”, précise Konstantinos Papamiltiadis sur le blog développeur de Facebook.

Facebook assure avoir avoir supprimé tous les accès, et promet procéder prochainement à des audits pour vérifier que les développeurs concernés n'aient plus d'informations personnelles en leur possession. Depuis plusieurs mois, Facebook enchaîne les couacs et scandales en tout genre. Déjà en août 2019, le réseau social avouait écouter illégalement les messages audio échangés sur Messenger. Depuis la rentrée, l'entreprise de Mark Zuckerberg essaie tant bien que mal de retrouver la confiance des usagers. La tâche s'annonce compliquée.