Réseaux sociaux, les paramètres de confidentialité que presque personne ne vérifie

Régler un compte de réseau social sur "privé" donne un faux sentiment de contrôle total. En réalité, plusieurs fuites d'informations parmi les plus fréquentes ne passent ni par un piratage ni par une faille technique, simplement par des réglages ou des mécanismes que presque personne ne pense à vérifier.

Les métadonnées cachées dans une photo

Une photo prise avec un smartphone contient souvent, en plus de l'image elle-même, des métadonnées invisibles à l'oeil nu, dont les coordonnées GPS précises de l'endroit où elle a été prise. La plupart des grands réseaux sociaux suppriment automatiquement ces métadonnées lors de la publication, mais ce n'est pas systématique partout, et surtout, envoyer la photo originale directement par une messagerie plutôt que via la plateforme elle-même conserve généralement ces données intactes. Une série de photos de vacances envoyées ainsi peut, sans le vouloir, révéler l'adresse exacte d'un domicile resté vide pendant l'absence de son propriétaire.

L'étiquetage par d'autres, hors de ton contrôle direct

Un compte réglé en privé protège ce que son propriétaire publie lui-même, mais pas ce que d'autres publient à son sujet. Une personne étiquetée sur une photo publiée par quelqu'un d'autre, avec un compte public, peut voir sa présence à un endroit précis, à un moment précis, révélée publiquement, indépendamment de ses propres réglages de confidentialité. La plupart des plateformes proposent une option pour approuver manuellement chaque étiquetage avant qu'il n'apparaisse sur le profil, une option rarement activée par défaut et encore plus rarement connue.

Les applications tierces connectées, oubliées avec le temps

Se connecter à un service externe "avec Google" ou "avec Facebook", plutôt que de créer un compte séparé, repose sur le même principe de jeton d'autorisation déjà décrit dans l'article sur les API. Ces autorisations s'accumulent au fil des années, souvent totalement oubliées, chacune restant un accès actif à une partie du compte tant qu'elle n'est pas révoquée manuellement. L'article sur la brèche Klue montrait à quel point un jeton oublié depuis des années peut devenir un point d'entrée exploité bien après que son usage initial a cessé d'avoir un sens : le même risque s'applique, à une échelle individuelle, à la longue liste d'applications tierces qu'un compte de réseau social accumule sans jamais être nettoyée.

Le profil "public par défaut", même sans y penser

De nombreuses plateformes créent un nouveau compte avec une visibilité publique par défaut, laissant à l'utilisateur la responsabilité de la restreindre lui-même s'il le souhaite. Même une fois un compte basculé en privé, certaines informations de base, le nom affiché, la photo de profil, parfois la liste des personnes suivies, restent visibles publiquement selon la plateforme et ses réglages précis, une nuance qui varie assez pour mériter d'être vérifiée directement plutôt que supposée.

Ce que les paramètres de confidentialité ne protègent jamais

Un compte privé limite qui peut voir un contenu au moment de sa publication, pas ce qui se passe une fois que ce contenu a été vu. Une personne acceptée comme abonné peut toujours faire une capture d'écran et la partager ailleurs, sans que le réglage de confidentialité d'origine n'y change quoi que ce soit. Une personne suffisamment déterminée à accéder au contenu d'un compte privé peut aussi créer un faux profil crédible pour se faire accepter, une variante directe de l'ingénierie sociale (voir l'article dédié) appliquée aux réseaux sociaux plutôt qu'à un email ou un appel.

Les bons réflexes

• Vérifier si le partage de localisation est actif par défaut sur l'appareil avant de publier une photo, et désactiver les métadonnées GPS si l'application le permet
• Activer l'approbation manuelle des étiquetages avant qu'ils n'apparaissent publiquement sur un profil
• Passer en revue, au moins une fois par an, la liste des applications tierces connectées à chaque compte, et révoquer celles qui ne servent plus
• Vérifier concrètement, depuis un autre compte ou en navigation privée, ce qui reste réellement visible publiquement une fois un compte réglé en privé, plutôt que de le supposer

Un compte "privé" reste un bon réglage de base, mais protège moins que ce que son nom suggère. La plupart des fuites d'informations sur les réseaux sociaux passent par ces angles morts précis, jamais par un piratage à proprement parler.