Meta accusé d'exploiter une faille Android pour pister l'historique web sensible des utilisateurs
Vous pensez que le mode « navigation privée » sur votre smartphone vous protège de tout ? Raté. Des applis Meta, dont Facebook, ont été prises la main dans le sac par des chercheurs, exploitant une faille Android pour pister l'historique web des utilisateurs, même les plus prudents.
Alors que la question de la vie privée numérique préoccupe de plus en plus, une découverte récente fait sérieusement grincer des dents. D'après des chercheurs indépendants, des applications du groupe Meta, Facebook en tête, ont abusé d'une faille du système Android afin de collecter l'historique de navigation web des utilisateurs, et ce, malgré les protections prévues par Google et les navigateurs concurrents.
Normalement, Android isole chaque application dans une sorte de bulle (« sandboxing »), empêchant toute connexion douteuse entre elles. Mais Meta (tout comme le moteur russe Yandex), avaient trouvé la parade : exploiter les connexions dites « localhost », des échanges internes à l'appareil qui gèrent les relations entre applis et système d'exploitation. Problème : Android ne contrôle pas ces flux. Résultat : il devenait possible de faire transiter, via ces canaux, des cookies et autres identifiants qui auraient dû rester cloisonnés, ouvrant ainsi une brèche dans vos habitudes de navigation.
Comment cette ruse permettait de pister... même en navigation privée
Le cœur du problème : leur technique leur permettait de capter tout passage sur un site équipé de Meta Pixel (un bout de code d'analyse très répandu sur le web), même en mode « privé ». Rien à faire, ni pour les utilisateurs, ni pour les bloqueurs de pubs ou VPN : ce contournement système était indétectable, et échappait à tous les filtres existants.
La faille a permis de suivre à la trace des millions d'internautes, sans qu'aucune permission ou alerte ne s'affiche. Les développeurs de Google et Firefox, mis devant le fait accompli, ont reconnu l'ampleur du problème et lancé une enquête sur la conformité de ces pratiques avec leurs propres règles. Ils précisent d'ailleurs que ce comportement va directement à l'encontre de leurs conditions d'utilisation et de la confiance attendue par les utilisateurs d'Android.
Depuis la révélation, Meta, sans reconnaître ouvertement les faits, semble avoir agi rapidement en supprimant les morceaux de code mis en cause. Mais une question demeure : combien d'autres applis exploitent des failles similaires ?
Source : Ars Technica
publié le , William Zimmer de Humanoid