"Échange carte cadeau contre données personnelles" : Facebook a secrètement payé des ados pour les espionner

Facebook est encore une fois dans la ligne de mire pour des histoires de données personnelles. Et cette nouvelle affaire risque bien de ne passer auprès de nombreux utilisateurs, notamment s’ils sont parents. 

Selon une enquête au long cours et extrêmement bien documentée, le site américain TechCrunch a en effet découvert que le réseau social avait secrètement payé des utilisateurs pour ensuite les espionner. Et parmi eux, des adolescents pas toujours conscients de ce qui les attendaient si ce n’est la perspective de toucher chaque mois des cartes cadeau pouvant aller jusqu’à 20 dollars.

Rappel des faits. En 2016, la firme de Mark Zuckerberg lance Facebook Research. Son but est d’obtenir le feu vert de certains utilisateurs pour un accès total à leur smartphone en installant un réseau privé virtuel (VPN) et de recueillir ainsi leurs données, les applications qu’ils utilisent, leurs habitudes, etc. Dans cette optique, Facebook recrutait des utilisateurs de 13 à 35 ans pour participer à un projet baptisé "Atlas", en échange de bons cadeaux. Les mineurs devaient quant à eux bien évidemment obtenir le consentement de leurs parents, mais rien ne pouvait en attester. Chaque "testeur" devait ensuite partager ses pratiques, voire envoyer des captures d’écran de ses achats sur Amazon. Facebook accédait aussi aux mails, messageries, localisation et réseaux sociaux.

"Le plus surprenant dans cette histoire, c'est le prix payé pour les données les plus privées d'une personne", avance Brad Pool, défenseur de la confidentialité des données personnelles chez HMA !, un fournisseur de VPN. "Ce type 'd'initiative' soulève également des questions plus alarmantes, quant à savoir si ce niveau d'accès n'est pas vendu ensuite à des tiers." Selon lui, il y a un besoin d’éducation numérique à faire des internautes et mobinautes : "Il est assez remarquable de constater ce que les entreprises sont prêtes à faire pour accéder à des données personnelles, et en même temps, de réaliser la facilité avec laquelle les citoyens vont l’accepter."

Autre problème : Facebook n’a jamais ouvertement indiqué être derrière le processus et a, pour cela, fait appel à des services de beta-test (Applause, BetaBound et uTest) qui se sont chargés de recruter des candidats, sans jamais mentionner la firme de Palo Alto. Ce n’est qu’une fois le processus d’installation enclenché que les utilisateurs avaient alors connaissance de l’implication du réseau lorsque le VPN leur demandait d’accepter le certificat de développeur tout en "faisant confiance à Facebook pour avoir un accès à la racine de leur téléphone ainsi qu’à une grande partie des données transmises," précise TedCrunch.

Derrière la dénomination Facebook Research, TechCrunch y voir le retour du VPN Onavo Protect. Il avait fait scandale il y a quelques années pour récupérer des données à l’insu de ses utilisateurs, informer Facebook sur les habitudes de consommation, les services et applis les plus utilisées… Onavo, sous couvert de protection, avait ainsi permis à Facebook de savoir que l’appli WhatsApp connaissait une croissance exponentielle et que l’acheter serait une bonne idée. Onavo avait ensuite été exclu de l’App Store par Apple. Mais il pourrait avoir servi de base à Facebook Research.

Facebook a reconnu la pratique, indiquant que les données étaient utilisées pour améliorer différents services. Là où la firme risque encore de s’attirer les foudres, c’est sur le procédé utilisé. Facebook Research a en effet été distribué en dehors de l’AppStore proprement dit, mais à l’aide du programme d’entreprise. Celui-ci permet normalement à des sociétés partenaires, comme Facebook, d’installer des applications internes pour leurs employés possédant des iPhone et des versions test d'applications qui seront ensuite livrées au grand public. C'est là que Facebook a contourné le système en faisant passer Facebook Research comme une appli de test et non comme un moyen de récupérer les données des utilisateurs.

Une attitude qui n’a évidemment pas plu à Apple, Tim Cook n’ayant jamais caché son désaccord avec les pratiques de Facebook quant à la protection des données des utilisateurs. "Facebook utilise son abonnement (le programme entreprise d’Apple, ndlr) pour distribuer une application de collecte de données aux consommateurs, ce qui constitue une violation flagrante de leur contrat avec Apple," a indiqué l’entreprise de Cupertino auprès du site ReCode. "Tous les développeurs utilisant leurs certificats d'entreprise pour distribuer des applications aux consommateurs verront leurs certificats révoqués. C'est ce que nous avons fait dans le cas présent pour protéger nos utilisateurs et leurs données." L’application a donc été retirée de l'AppStore (mais pas encore du PlayStore de Google), ce qui entraîne une révocation du certificat sur les iPhone concernés et une désactivation.

Outre Facebook Research, Apple a rapidement mis en application ses remontrances en bloquant dès mercredi de nombreuses applications internes à Facebook. Le site The Verge a par exemple constaté qu’on ne trouvait plus trace dans l’App Store des versions beta de divers et outils de base de Facebook, Instagram ou encore Messenger. Ces applications ne se lancent plus sur les téléphones des employés.

Ce "Facebook Research gate" s'apparente à un nouvel épisode de la guerre latente entre les deux géants californiens. Après avoir essuyé les critiques de Tim Cook l’an dernier, Mark Zuckerberg aurait interdit à ses employés d’avoir des iPhone comme téléphone professionnel.