Cette gigantesque base de données a été trouvée sur un serveur Amazon utilisé par Cultura Colectiva, une plateforme basée à Mexico qui génère du contenu pour l’engagement en ligne. La société affirme avoir plus de 45 millions d’adeptes si l’on additionne tous ses canaux sur les réseaux sociaux.
La base de données en question était d’une taille de 146 Go et contenait des informations telles que des commentaires, des goûts, des réactions et des noms d’utilisateurs. Il était stocké sur un serveur Amazon S3 sans aucune protection et pouvait être facilement téléchargé.
La deuxième base de données était beaucoup plus petite, mais contenait des données encore plus sensibles sur 22 000 utilisateurs, telles que la liste d’amis, les fiches d’intérêt, les photos, l’historique des enregistrements et même les mots de passe en texte clair.
Ce fichier, également stocké sur Amazon S3, était une sauvegarde d’une application Facebook appelée At the Pool qui a été désactivée en 2014. Les mots de passe exposés concernaient l’accès à l’application, mais pouvaient présenter un risque pour les utilisateurs utilisant la même combinaison pour se connecter à Facebook.
Les deux bases ont été retirées des serveurs mercredi (3) après que Bloomberg ait alerté Facebook à leur sujet. La société a publié une note disant que ses politiques interdisent le stockage d’informations sur les réseaux sociaux dans les bases de données publiques et que, après l’alerte, elle a travaillé avec Amazon pour les rendre indisponibles.
Rien ne prouve que ces données aient été utilisées à des fins malveillantes. Malgré cela, les deux cas sont considérés comme sérieux car ils suggèrent que les efforts de Facebook pour éviter un autre scandale comme celui de Cambridge Analytica ne sont toujours pas suffisants.
Après cet épisode, la société a commencé à auditer les applications et les services basés sur sa plateforme. Cependant, les deux bases de données qui ont été exposées mettent en évidence un problème difficile à détecter : celui des entreprises qui utilisent des services dans les nuages pour la sauvegarde sans toutefois prendre le soin de protéger les bases stockées.
Cela indique que Facebook a encore un long chemin à parcourir pour obtenir un contrôle plus strict des données que les applications et services tiers collectent.
Il est essentiel d’appliquer plus de rigueur : UpGuard a pris le premier contact avec Cultura Colectiva pour l’avertir de l’exposition de la base de données le 10 janvier et, sans réponse, a alerté Amazon le 28 du même mois. Cependant, le fichier n’a été supprimé que cette semaine, après que Facebook ait été contacté par Bloomberg pour prendre position sur la question.
