Ces sites web qui nous espionnent
Les sites web de Microsoft, Adobe, Spotify, Skype ou encore Pornhub contiennent un logiciel enregistrant tout ce que fait l’internaute: ses mouvements de souris, les touches frappées, les liens cliqués… Des chercheurs ont mis au jour ces pratiques sulfure
Des chercheurs de Princeton ont mis au jour des pratiques pour le moins sulfureuses: de nombreux sites, comme ceux de Microsoft, Skype, Adobe ou encore Spotify, contiennent un logiciel espion qui enregistre tout ce que fait l’internaute lorsqu’il visite leurs pages web
Ce ne sont sans doute ni la NSA ni des pirates informatiques russes ou nord-coréens qui sont les plus curieux de la vie privée des internautes. Il s’agit plutôt de multinationales bien établies telles Microsoft, Samsung ou encore Spotify. Il y a quelques jours, des chercheurs de l’Université de Princeton (New Jersey) ont publié une étude montrant comment ces entreprises espionnaient en détail le comportement des internautes qui visitent leurs pages web – certaines ont abandonné cette pratique ces derniers jours. Via des systèmes perfectionnés, elles parviennent à enregistrer intégralement les mouvements de souris, les frappes sur le clavier et la navigation entre les pages.
Steven Englehardt, l’un des chercheurs du projet «Freedom to Tinker» de Princeton, résume ce système d’espionnage en une phrase: «Ces scripts informatiques sont conçus pour enregistrer et rejouer en play-back des sessions individuelles de navigation, comme si quelqu’un regardait par-dessus votre épaule.» Les chercheurs ont constaté que 482 des 500000 sites les plus consultés sur la planète – selon le classement de la société Alexa – intègrent de tels scripts. Il s’agit par exemple de Microsoft, Adobe, Wordpress, Spotify, Skype, Samsung ou encore du site pornographique Pornhub.
Même du contenu effacé
Les chercheurs ont même créé une base de données permettant de trouver les sites impliqués – d’après nos recherches, il n’y a pas de site web suisse dans ce répertoire. Mais les internautes romands sont de toute façon concernés, que ce soit via les sites de Spotify ou Microsoft, ou simplement parce que certains sites, tel eurosport.fr, sont en français.
Ces scripts, soit des morceaux de codes informatiques, sont appelés «session replay». Il s’agit en effet de rejouer en différé le comportement complet d’un internaute pour l’analyser. Cela permet par exemple de voir s’il se perd entre deux pages ou s’il se perd au milieu d’un formulaire. Ces systèmes ne sont pas nouveaux. C’est la découverte de leur utilisation massive qui l’est, de même que leur puissance. Car ces scripts sont par exemple capables d’enregistrer ce qu’un internaute écrit dans un formulaire, même s’il efface en partie son contenu pour le récrire ensuite. Comme le rappelle le site spécialisé Motherboard, Facebook avait fait scandale en 2013 lorsqu’il avait été découvert que le réseau social enregistrait les statuts de ses membres, même s’ils étaient juste tapés, et pas enregistrés…
Les 482 sites incriminés utilisent des scripts de plusieurs sociétés: FullStory, SessionCam, Clicktale, Smartlook, UserReplay, Hotjar et Yandex – il s’agit, dans ce dernier cas, du moteur de recherche le plus populaire en Russie. Ces scripts posent plusieurs problèmes. D’abord, les internautes ne sont souvent, voire jamais au courant du fait que leurs actions sont enregistrées. Ensuite se pose la question de la confidentialité: les informations récoltées sont envoyées sur les serveurs des éditeurs de ces scripts sans être anonymisées, et sans doute avec un degré de protection très faible.
Pas d’anonymisation des données
Les chercheurs donnent l’exemple du site web de la chaîne américaine de pharmacie Walgreens. Les auteurs de l’étude notent que des informations aussi sensibles que des ordonnances, des informations sur la santé du patient mais aussi son nom sont envoyées sur les serveurs de FullStory. Certains mots de passe, lorsqu’ils sont inscrits sur des sites web consultés sur smartphone, sont aussi enregistrés, tout comme quelques chiffres provenant de numéros de cartes de crédit.
Que penser de ces pratiques? «Elles sont très dangereuses, car le stockage de données aussi personnelles et sensibles sur des serveurs de sociétés de conseil risque de donner des idées à des pirates informatiques, estime Sylvain Pasini, spécialiste en cybersécurité à la Haute Ecole d’ingénierie et de gestion du canton de Vaud. Il faut préciser en parallèle que d’après ce qu’ont trouvé les chercheurs de Princeton, les entreprises enregistrent tout ce qui se passe sur leur site web, mais pas sur l’ensemble de l’ordinateur. Le système d’espionnage est installé sur le serveur de l’entreprise, pas sur l’ordinateur de l’internaute.»
▅