Les fuites de données arrivent parfois à des entreprises comme Decathlon ou des chaînes d’hôtels comme Marriott, mais lorsqu’elles touchent des réseaux sociaux, elles peuvent rapidement prendre une ampleur inédite. C’est ce qu’a découvert une équipe de chercheurs en cybersécurité de Comparitech en dévoilant qu’une base de données non sécurisée avait laissé fuiter pas moins de 235 millions de profils d’utilisateurs d’Instagram, de YouTube et de TikTok.

Des données idéales pour faire du spam

Comme le relate Forbes, des données observées sur le dark web seraient liées à des comptes Instagram, TikTok et YouTube et auraient permis 15 milliards de connexions sauvages, autrement dit non autorisées. Elles ont en fait été stockées sur des bases de données non sécurisées, trois au total. Tandis que les deux premières étaient les plus fournies avec un peu moins de 100 millions de données chacune, la dernière, elle, possédait environ 42 millions de données d’utilisateurs TikTok et 4 millions de profils YouTube. Parmi les données qu’on pu consulter les chercheurs de l’équipe Comparitech, chaque profil comprenait des informations importantes sur son détenteur : son pseudonyme, son nom, sa photo de profil, ainsi que la description de son compte. D’autres données plus statistiques étaient également présentes, à l’image du nombre d’abonnés, de l’âge, de l’heure d’envoi du dernier message privé, le taux d’engagement sur le compte, le taux de croissance des abonnés, ou encore l’âge moyen et la répartition hommes-femmes de l’audience.

Pour Paul Bischoff, rédacteur en chef de Comparitech, « les informations seraient probablement plus précieuses pour les spammeurs usant de robots et les cybercriminels qui mènent des campagnes de phishing ». De plus, « même si les données sont accessibles au public, le fait qu’elles aient été divulguées de manière globale en tant que base de données bien structurée les rend beaucoup plus précieuses que si chaque profil avait été volé un par un ».

Mais quelle est l’origine de cette fuite de données ?

Selon les chercheurs, la présence de ces données sur le dark web serait liée à l’activité de Deep Social. Pour rappel, il s’agit d’un outil de marketing d’influence qui a été banni de Facebook et d’Instagram en 2018, en raison du vol de données d’utilisateurs. Alerté par les chercheurs, Social Data, une société basée à Hong Kong, a supprimé la base de données concernée en moins de 3 heures.

Contacté par Forbes, Social Data a nié tout lien avec la société Deep Social dissoute il y a quelques années. Un porte-parole de l’entreprise basée administrativement en Chine a précisé « Nous collectons des données et les enrichissons avec des informations utiles supplémentaires uniquement au nom de nos clients réputés, qui les utilisent strictement à des fins prévues et convenues. Il est extrêmement triste que cet incident se soit produit en raison de mélange d’évènements malheureux », cela avant de préciser : « Nous travaillons maintenant en étroite collaboration avec les experts en sécurité de l’informations pour auditeur notre infrastructure de sécurité et augmenter les niveaux requis de sécurité de l’information pour éviter des évènements similaires à l’avenir ».