Vague de spams sur facebook, ce fameux web "2.0" touche-t-il les limites de la sécurité ?

Je ne sais pas si le phénomène est véritablement nouveau, mais en tout cas, c'est la première fois que je l'observe. Et j'avoue qu'après en avoir fait le tour, je suis plutot dubitatif quand aux "innovations" que peut faire facebook.

Tout a commencé mardi soir, me connectant sur Facebook, je vois une page qu'une amie a partagé et semble apprécier, sujet bateau, j'en suis d'autant plus intrigué, flaire l'arnaque (d'autant plus que j'y vois 600.000 fans), et saute dans le plat le plus fort possible.

Il est question dans cette page d'un sujet "choc" où tout tient dans une photo à voir, et pour voir cette photo, il faut cliquer sur un lien interne à facebook qui amène ensuite à une "vérification anti-spam" qui consiste à cliquer sur des cases de couleurs dans un ordre défini. Bon, allons-y gaiement alors !

Une fois cette captcha (une sorte de code anti-spam) d'un genre différent passée, la photo est bel et bien au rendez-vous, c'est naze comme il se doit, ça écoeure, mais après tout, étonné, ça marche sans embrouille visible.

De retour sur ma page d'accueil, quelle ne fut pas ma surprise de voir que j'ai recommandé cette page ! Partagé entre effroi (hors de question de partager ça) et satisfaction (je tiens un truc qui cloche), j'opte dans un 1er temps pour l'effroi, et vire vite ce partage. J'envoie un message à mon amie pour lui dire que je me suis fait avoir moi aussi par "son truc", qui me répond "lequel ?".

Dès lors, je sens être la 600.001 victimes (oui, j'ai arrondi), et ça tombe bien, je crois que je n'attendais que ça. Je me rends compte au passage que non seulement j'ai partagé, mais en plus, il semblerait que j'aime cette page, tout s'est fait automatiquement, bref, je vire tout ça, on verra demain, il se fait tard.

Mercredi, je reviens voir la page en question, qui en était à 970.000 fans, wouw ! Etrange hasard, je tombe en meme temps sur cet article du Post qui relate une faille dans la fonction "I like" de facebook. Là, je me dis que s'il y a un rapport, on touche le million là, et que ça devient sérieux.

Je cherche donc comment cela a pu être possible, et savoir si la faille est bien dangereuse, plongée dans le code pour disséquer tout ça.

Au final, les pages de Facebook permettent d'inclure dans un onglet dédié pour un site extérieur, ce que l'on appelle une Iframe. C'est donc cette page qui contenait le code qui a permis de devenir fan  et partager "automatiquement". Je vous la donne, elle existe encore, et l'url vous donnera l'identité des clients (oui, clients, on y arrivera plus tard). Ne suivez pas les instructions données si vous avez un onglet Facebook ouvert à coté !

Toute la marabouterie tient donc dans cette fameuse page, je regarde donc le code, les éléments sont forcément là ! Et là, surprise, cette page incluse (iframe) inclut elle-même 2 autres iframes... venues de Facebook, ces fameuses fonctions "j'aime" et "partager" utilisables sur d'autres sites, possibilité tant décriée d'ailleurs à sa sortie :

Comme on le voit ici (si vous le voyez pas, ne vous inquiètez pas, je vais tenter d'expliquer), ces fameux liens "j'aime" et "partager" sont rendus transparents, et sont positionés soigneusement au dessus des cases à cocher ! Ce qui fait que quand on croit cliquer sur une case, on clique en fait sur ces deux liens, d'où les 3 étapes de la "vérification", les 2 premières pour partager, la troisième pour accéder à l'image désirée.

Histoire que vous comprenez, je change le code de la "I like" pour changer sa transparence à 50 % :

Et oui, quand on clique sur le bleu, on clique en fait sur le "j'aime" officiel de Facebook (bon, en semi transparence avec du rouge, il semble moins bleu). Et c'est de même pour le partage.

Cette technique, comme elle est utilisée ici, ne fait que ça, "aimer et recommander", aucun vol d'info. Par contre, et comme le dit l'intitulé de mon titre, c'est du spam massif sur Facefook -dans un premier temps-, cette page est passée de mardi, 600.000 "fans" à 1.070.000 fans mercredi avant d'être supprimée (je l'ai signalée, et peut être d'autres l'ont fait).

Enquête continuée ensuite, sachant la technique, il y a d'autres pages du même style qui poussent de partout, et ça mène sur plusieurs sites (qui hégergent l'iframe) différents, donc ces sites sont clients d'un "prestataire de spam facebook", aux méthodes délictueuses (?).

Le problème se pose en fait à plus grande échelle que Facebook, Ce n'est pas une faille à proprement parler, mais (pour moi) une nouvelle méthode de phishing.

L'intéractivité que permet ce web "2.0" pose ici un énorme souci, Voir qu'on peut gruger aussi facilement, faisant croire que l'on clique sur un élément alors qu'il en est tout autre n'a rien d'anodin et va devenir un réel danger si cette technique est suivie. Il faut bien comprendre qu'ici, Facebook n'a plus aucun controle sur les sites où il est inséré (rien n'interdit de faire la meme chose sur son propre site, il suffit d'avoir l'onglet Facebook ouvert à coté chez le client).

Du coup, je me demande, et après Facebook, qui ? et en revenant à Facebook, quoi de nouveau ? La même possibilité pour les applications ?