Ces risques qu'on prend à accéder à des applis via ses logins Gmail, Facebook et Twitter

Si les éditeurs d'applications justifient cette méthode de connexion par une amélioration de l'expérience utilisateur, laisser une application - que l'on n'utilisera parfois qu'une fois - accéder aux données détenues par Google ou Facebook n'est pas sans péril. Adresse, numéro de téléphone, paiements effectués... De nombreuses informations sensibles y sont récupérées.

Atlantico : Les applis, sites et autres services auxquels nous nous connectons via un compte Facebook, Twitter ou Gmail peuvent être très nombreux, en fonction des habitudes de navigation de chacun. Ce faisant, quelles données laissons-nous "en pâture", et à qui ?

Erwan Le Nagard : Les acteurs majeurs du numérique, notamment les réseaux sociaux, proposent aux développeurs de construire des applications utilisant des fonctionnalités issues de leurs plateformes. C’est ainsi que vous pouvez utiliser le bouton "j’aime" sur le site média ou vous connecter à l’aide de vos identifiants Facebook sur votre site de e-commerce favori. Cela représente une part non négligeable de leur activité : plus de 80% du trafic de Twitter provient de ces applications. Facebook dénombre plus de 30 millions d’applications et de sites web utilisant ses fonctionnalités… Bien évidemment, les éditeurs d’applications n’ont pas accès à l’ensemble des fonctionnalités de la plateforme mère ni à toutes les données de ses utilisateurs.

Néanmoins, les utilisateurs peuvent partager certaines informations avec les éditeurs d’applications pour bénéficier en retour d’une expérience de navigation simplifiée ou d’un service personnalisé. Chaque application demande accès à des données différentes mais, d’une manière générale, l’utilisateur peut être amené à partager des éléments concernant son identité (son nom, email, téléphone…), son activité (interactions, paiements…), ses relations ou les services qu’il utilise. Bref, cela représente un vaste ensemble de données dont l’utilisateur ne maitrise pas toujours les aboutissants.

Quels sont les risques, auxquels nous ne pensons pas forcément ?

Le risque le plus évident concerne des tentatives de phishing, c’est-à-dire lorsqu’une application tente d’accéder à vos données en se faisant passer pour un tiers de conscience. Il sera toujours possible de révoquer l’accès à l’application si l’utilisateur s’aperçoit de la supercherie, mais une fois les données partagées, le mal est fait…

Les éditeurs d’applications sont tenus de maintenir leurs services en état de fonctionnement, et d’assurer la sécurité de leurs utilisateurs. Néanmoins, la plupart des applications sont créées de manière événementielle, le temps d’une campagne publicitaire ou d’un jeu concours. Il n’est alors pas rentable de maintenir ces applications ni même de les supprimer. Or, les applications tierces connectées à votre compte peuvent être vulnérables à une attaque extérieure. Pourtant, la plupart des utilisateurs ne pensent pas à révoquer l’accès à ces applications devenues inutiles.

Enfin, certaines données partagées en ligne peuvent être considérées comme publiques et ne nécessitent pas qu’un éditeur demande une autorisation explicite pour y avoir accès. Par exemple, il est possible que les tweets d’un utilisateur soient collectés et analysés si l’utilisateur n’en a pas restreint l’accès. Par extension, la plupart des utilisateurs méconnaissent les métadonnées, c’est-à-dire des données qui servent à en décrire d’autres. Par exemple, un tweet peut paraitre de prime abord peu intéressant à l’analyse, puisqu’il ne comporte que 140 caractères. En réalité, ce message est associé à une quarantaine d’autres informations : l’identité de l’auteur, son activité sur le réseau, sa description, sa localisation, depuis quelle source a été publié le message, quels hashtags sont mentionnés, etc.

source:  http://www.atlantico.fr/decryptage/ces-risques-qu-on-prend-acceder-applis-logins-gmail-facebook-et-twitter-erwan-nagard-2115270.html#h3GcJqZLubTFHg56.99