L’année dernière, l’Assemblée mondiale pour la protection de la vie privée (GPA), une association regroupant plus de 130 autorités de réglementation et organismes chargés de l’application des lois en matière de protection des données et de la vie privée, a averti que le bourrage d’identifiants par des robots représentait un risque mondial pour la confidentialité des données et que les organisations étaient tenues de prendre des mesures raisonnables pour l’empêcher. Aujourd’hui, le Groupe de travail sur la coopération internationale en matière d’application de la loi (IEWG) de la GPA a publié une déclaration commune avertissant les entreprises de réseaux sociaux et les autres sites web qu’il leur incombe de protéger les informations personnelles des individus contre l’extraction illicite de données.
Qu’est-ce que l’extraction de données ?
L’extraction de données est le processus automatisé qui consiste à extraire des données d’applications web et mobiles. Les outils d’extraction collectent des données pour de nombreuses raisons, qu’il s’agisse d’obtenir un avantage concurrentiel ou de regrouper des données afin de comparer les prix. Les organisations tentent souvent d’empêcher cette pratique, car elles ne veulent pas que leurs concurrents accèdent à leurs données de tarification ou de stock, ou parce que le volume de trafic généré par l’extraction nuit aux performances des applications. Dans de nombreux cas, ce trafic peut représenter plus de 95 % du trafic total et ralentir les applications, voire les faire planter.
Comment le scraping de données met-il en péril la confidentialité des données ?
Les réglementations relatives à la protection de la vie privée visent à protéger les droits des personnes en matière de confidentialité des données, en leur permettant de décider qui peut utiliser leurs données, à quelles fins et pendant combien de temps. Lorsque les utilisateurs partagent des données sur les réseaux sociaux, ils s’attendent à ce qu’elles soient consultées par un groupe précis de personnes, conformément aux paramètres et aux politiques de confidentialité de l’application. Lorsque ces données sont collectées à leur insu par extraction automatisée, les personnes perdent le contrôle de leurs informations personnelles, car ceux qui les collectent peuvent les utiliser à des fins autres que celles initialement prévues.
L’extraction de données porte également atteinte au droit des personnes de demander la suppression ou la rectification de leurs données personnelles. Une fois les données extraites, même si leur auteur les supprime du réseau social, les responsables de l’extraction continueront à les utiliser et à les partager.
Selon la déclaration conjointe de la GPA, cette perte de contrôle sur les données personnelles expose les individus à plusieurs risques. Des criminels peuvent utiliser ces données à des fins d’ingénierie sociale, d’hameçonnage ciblé et d’usurpation d’identité. Ces données peuvent leur permettre d’établir le profil d’individus dans le but de contourner les systèmes d’autorisation. Enfin, des spécialistes du marketing peu scrupuleux peuvent les utiliser à des fins de marketing direct et d’envoi de courriers indésirables.
Cela présente-t-il un risque de non-conformité pour les organisations ?
Selon la déclaration conjointe de la GPA, les informations personnelles, même lorsqu’elles sont accessibles au public sur Internet, sont soumises aux lois sur la protection des données. Cela signifie que la collecte massive d’informations personnelles par moissonnage de données peut constituer une violation de données devant être signalée dans de nombreuses juridictions.
La déclaration conjointe recommande des mesures visant à empêcher l’extraction de données, qui sont imposées par la législation dans de nombreuses juridictions et peuvent être « interprétées comme telles par les tribunaux et les autorités chargées de la protection des données ».
Que recommande la GPA ?
Pour atténuer les risques que l’extraction de données fait peser sur la vie privée, la GPA recommande de mettre en place des mesures de contrôle techniques et procédurales à plusieurs niveaux, en commençant par la création d’une équipe dédiée chargée de les appliquer et d’en surveiller l’efficacité. Parmi les autres mesures figurent la limitation du débit imposée aux utilisateurs, la surveillance de la création rapide de liens au sein du réseau social, l’engagement de poursuites judiciaires contre les auteurs d’extraction de données afin de garantir la suppression des données, ainsi que la notification aux personnes concernées et aux autorités de régulation des activités d’extraction constituant une violation de données.
Dans le cadre de ces contrôles multicouches, la GPA recommande également de lutter contre les bots qui extraient des données. La déclaration conjointe mentionne notamment les CAPTCHA et la limitation du débit par adresse IP. Les organisations qui souhaitent bénéficier d’une protection multicouche efficace devraient envisager des solutions de gestion des bots qui s’appuient sur la collecte de signaux et l’IA pour lutter contre les bots avancés capables de contourner les CAPTCHA et la limitation du débit par adresse IP.
Qu’est-ce qui a changé pour rendre cette menace plus préoccupante ?
Si l’on considère le scraping de données à la lumière des récentes évolutions en matière de phishing, la menace qui pèse sur la vie privée devient encore plus préoccupante. Les fournisseurs de services de phishing (Phishing-as-a-Service, PhaaS) proposent des boîtes à outils complètes pour lancer des attaques de phishing, comprenant notamment des modèles d’e-mails, de faux sites web conçus pour paraître authentiques, les coordonnées de cibles potentielles, des instructions détaillées et une assistance client. Tous ces éléments rendent le phishing plus efficace, même entre les mains d’attaquants peu expérimentés. En outre, le phishing est devenu le principal moyen de contourner l’authentification multifacteur (MFA) grâce à des proxys de phishing en temps réel qui incitent les utilisateurs à saisir des mots de passe à usage unique dans des applications contrôlées par les attaquants. (Consultez le rapport de F5 Labs sur la manière dont le phishing rend l’authentification multifacteur inefficace.)
Il faut s’attendre à ce que l’hameçonnage gagne encore en efficacité grâce à l’utilisation de grands modèles de langage. Des rapports faisant état de nouveaux outils d’attaque en vente sur le dark web, notamment WormGPT et FraudGPT, indiquent que les cybercriminels ont commencé à adapter l’IA générative à des fins malveillantes, notamment pour l’hameçonnage. Ces outils tireront presque certainement parti de l’intégration de données personnelles extraites de plusieurs applications afin de créer des messages d’hameçonnage personnalisés et efficaces, une évolution qui pourrait conduire à l’automatisation du harponnage.
Pourquoi devrions-nous nous en préoccuper ?
Le scraping de données et d’autres formes d’automatisation malveillante, telles que le bourrage d’identifiants, risquent d’exposer nos données à des criminels. Ceux-ci peuvent les regrouper et les utiliser contre nous dans le cadre de stratagèmes d’ingénierie sociale et d’attaques par hameçonnage, susceptibles d’entraîner des fraudes financières et d’autres préjudices. En publiant ces avertissements et en sensibilisant les organisations aux conséquences néfastes du fait de laisser des bots extraire nos données personnelles, la GPA rend un service public important. Pour découvrir comment F5 peut vous aider à lutter contre le scraping de données et à protéger la confidentialité des données, consultez www.f5.com/go/solution/scraping.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.