Clé à emporter
- Meta a étendu son programme de primes de bogues pour renforcer sa plate-forme et ses utilisateurs contre les scrapers de données.
- Le scraping de données a permis aux pirates d'accumuler les informations de plus de 300 millions d'utilisateurs dans le passé.
-
Meta affirme qu'il est le premier à récompenser les chercheurs pour leur aide à maîtriser le data scraping.
Seriez-vous surpris de savoir que des programmes automatisés parcourent les plateformes de médias sociaux comme Facebook pour récolter toutes les informations accessibles au public et les rassembler dans des bases de données ? Des informations individuelles peuvent ne pas être d'une grande utilité, mais ensemble, elles peuvent permettre aux pirates de perpétrer toutes sortes de crimes numériques, tels que des vols d'informations d'identification et des attaques de phishing. Et Meta en a assez.
Alors que le réseau social lui-même prend des mesures pour attraper et limiter ces programmes automatisés appelés grattoirs, la plate-forme a maintenant décidé de faire appel à des chercheurs indépendants en sécurité en élargissant ses programmes de primes de bogues. Son objectif n'est pas seulement de corriger les bogues qui divulguent de tels détails sur ses utilisateurs, mais également d'aider à trouver de telles bases de données contenant des informations récupérées.
"Le programme de primes aux bogues aidera à combler les lacunes des défenses de Facebook contre le scraping et à alerter Meta des bases de données scrapées qui apparaissent sur le Web", a déclaré Paul Bischoff, défenseur de la vie privée et rédacteur en chef du centre de recherche Infosec Comparitech, à Lifewire par e-mail..
La menace de grattage
Meta a qualifié le scraping de "défi à l'échelle d'Internet" en annonçant l'extension de son programme de primes de bogues, initialement conçu pour trouver des problèmes logiciels dans le code qui alimente la plate-forme.
Selon Bischoff, de nombreuses plateformes ont interdit l'utilisation de grattoirs, même pour les informations qu'elles détiennent qui sont accessibles au public. En effet, les informations personnellement identifiables (PII), telles que les noms d'utilisateur, les dates de naissance, les adresses e-mail et l'emplacement, sont souvent utilisées par des acteurs malveillants pour cibler les utilisateurs dans des campagnes d'ingénierie sociale élaborées.
Le programme de primes aux bogues aidera à combler les lacunes dans les défenses de Facebook contre le scraping et à alerter Meta des bases de données scrapées…
Cependant, Bischoff ajoute que Facebook a eu du mal à faire la distinction entre les grattoirs et les utilisateurs légitimes, ce qui a entraîné d'énormes fuites de données dans le passé. Il souligne spécifiquement la fuite qui a fait surface en mars 2020 lorsque Comparitech s'est associé au chercheur en sécurité Bob Diachenko et a découvert une base de données contenant les identifiants et numéros de téléphone de plus de 300 millions d'utilisateurs de Facebook.
Mais le scraping n'est pas carrément illégal - au mieux, il existe dans une zone grise techno-légale puisqu'il a également des utilisations légitimes.
"Même si le scraping va à l'encontre des conditions d'utilisation de Facebook, ce n'est pas strictement illégal. Certaines opérations de scraping sont malveillantes, mais d'autres sont académiques ou journalistiques", a précisé Bischoff.
Voulait DOA
Dans son annonce de l'expansion du programme Bug Bounty, Facebook a mentionné que depuis sa création, l'initiative Bug Bounty avait attribué plus de 800 primes, totalisant plus de 2,3 millions de dollars à des chercheurs de plus de 46 pays. Relever de "nouveaux défis" tels que le scraping était une extension naturelle du programme.
Même si le scraping va à l'encontre des conditions d'utilisation de Facebook, ce n'est pas strictement illégal.
Selon Meta, le programme élargi de primes aux bogues récompensera les chercheurs en sécurité sur deux fronts.
Premièrement, dans le cadre de sa stratégie de sécurité plus large visant à rendre le scraping plus difficile et "plus coûteux" pour les acteurs de la menace, Meta attribuera des rapports sur les bogues de sa plate-forme que les mauvais acteurs peuvent exploiter pour contourner les barrières qu'il a érigées pour dissuader le scraping.
Deuxièmement, la plate-forme a déclaré qu'elle récompenserait également les chasseurs de primes de données qui l'informeraient des bases de données non protégées disponibles en ligne contenant les informations personnelles récupérées d'au moins 100 000 utilisateurs Facebook uniques.
"Si nous confirmons que les informations personnelles de l'utilisateur ont été récupérées et qu'elles sont désormais disponibles en ligne sur un site autre que Meta, nous nous efforcerons de prendre les mesures appropriées, notamment en travaillant avec l'entité concernée pour supprimer l'ensemble de données ou en recherchant des moyens légaux. pour aider à s'assurer que le problème est résolu ", a noté Meta dans l'annonce.
Il a ajouté que si le scrap était dû à une mauvaise configuration dans l'application d'un développeur externe, la plateforme travaillerait avec le développeur pour colmater la fuite. D'autre part, il s'efforcera également de s'assurer que le service d'hébergement où les pirates ont hébergé la base de données récupérée la supprime.
Les récompenses pour les primes de scraping commencent à 500 $, et tandis que les bugs de scraping impliquent des paiements monétaires, les informations sur les bases de données scrapées seront attribuées sous la forme de dons caritatifs à des organisations à but non lucratif choisies par les journalistes.
"Au meilleur de notre connaissance, il s'agit du premier programme de primes de bogues de grattage dans l'industrie", a résumé Meta. "Nous nous efforcerons de répondre aux commentaires de nos meilleurs chasseurs de primes avant d'étendre la portée à un public plus large."
