En raison d’une faille de sécurité survenue sur Facebook, près de 533 millions numéros de téléphone associés à des comptes ont été rassemblés dans une large base de données. Ils sont désormais revendus sur l’application de messagerie Telegram, au compte-gouttes ou par lots.

Ils font office de véritable poule aux œufs d’or pour le hacker qui les a récupérés. Près de 533 millions de numéros de téléphone associés à des comptes Facebook sont mis en vente sur l’application de messagerie russe Telegram, pour 20 dollars l’unité, avec un tarif dégressif à partir de 10 000 numéros achetés.

D’après le chercheur en sécurité à l’origine de cette découverte, et sollicité par le média américain Motherboard, tous ces numéros proviennent d’une faille survenue sur Facebook en 2019, et résorbée depuis. Cette dernière permettait à l’époque de récupérer le numéro de téléphone de n’importe quel utilisateur du réseau social. Elle semble avoir été largement exploitée, Facebook comptant près de deux milliards d’utilisateurs dans le monde.

Concrètement, un bot créé sur Telegram permet aux utilisateurs de l’application de mettre la main sur le numéro de téléphone d’un utilisateur de Facebook à partir de son identifiant, ou inversement. Ce même identifiant Facebook peut être récupéré par le biais d’un site Internet, à partir de la simple adresse URL du profil visé.

La base de données s’avère particulièrement large: près de 32 millions de comptes américains sont concernés, contre plus de 19 millions de comptes français répertoriés.  

Le réseau social a notamment recours à ces numéros de téléphone pour procéder à sa double-authentification, et donc renforcer la sécurité des millions de comptes qui y ont été créés. Le numéro de téléphone peut également permettre de récupérer l’accès à son compte en cas d’oubli de mot de passe.

In early 2020 a vulnerability that enabled seeing the phone number linked to every Facebook account was exploited, creating a database containing the information 533m users across all countries.

It was severely under-reported and today the database became much more worrisome 1/2 pic.twitter.com/ryQ5HuF1Cm

— Alon Gal (Under the Breach) (@UnderTheBreach) January 14, 2021

D’après les captures écrans fournies à Motherboard, le bot serait actif depuis mi-janvier 2021. Facebook a tenu à préciser que la base de données contenait des identifiants Facebook créés avant que la vulnérabilité soit corrigée. Mais les numéros de téléphone y étant indexés correspondent vraisemblablement, dans la majorité des cas, toujours aux mêmes individus aujourd’hui.

Au Royaume-Uni, WhatsApp dégringole dans le classement des applications les plus populaires

Full list of affected users by country pic.twitter.com/Wrrzd0WyxE

— Alon Gal (Under the Breach) (@UnderTheBreach) January 14, 2021

L’application Telegram, connue pour sa modération indulgente, n’a pas encore censuré l’accès à des données personnelles sensibles.

Elsa Trujillo