Google risque de perdre la confiance des utilisateurs en gardant le silence sur la fuite de données

On s'est habitué à l'idée qu'Internet est un lieu peu sûr, mais depuis quelques jours, les alertes se succèdent. Facebook a découvert que des pirates inconnus avaient un accès total à près de 50 millions de profils. Apple et Amazon ont dû démentir un rapport sur des puces d'espionnage chinoises qu'ils auraient trouvées dans leurs serveurs. L'Occident a accusé les services secrets militaires russes d'être à l'origine d'importantes attaques de piratage. Et maintenant Google, dont le réseau en ligne endormi Google Plus a ouvert pendant des années les données de profil aux développeurs d'applications.

Depuis des années déjà, Google Plus n'était plus qu'une note de bas de page dans l'histoire d'Internet, une tentative rapidement avortée de concurrencer Facebook sur le "web social" au même niveau. Mais depuis son lancement en 2011, des millions de profils ont dû s'accumuler. Et si les utilisateurs ont partagé avec leurs amis leurs données de profil de base telles que leur nom, leur adresse e-mail ou leur âge, les développeurs d'applications y ont également eu un accès incontrôlé depuis 2015. Ce printemps encore, Google a trouvé environ 500 000 profils potentiellement concernés. Les données relatives au passé ne sont tout simplement pas disponibles.

Identification impossible

Le groupe Internet a découvert et comblé la fuite de données dès le mois de mars - avant de prendre la décision potentiellement lourde de conséquences de garder l'affaire pour lui. Google indique qu'il n'a pas été possible d'identifier les utilisateurs concernés, qu'il n'y a pas d'indices d'abus et que les consommateurs et les développeurs d'applications n'ont rien pu faire non plus.

Mais le mois de mars dernier était aussi un très mauvais moment pour découvrir une fuite de données : le scandale Facebook autour de Cambridge Analytica venait d'éclater. Et le Wall Street Journal Une analyse interne des experts juridiques et politiques de Google y fait allusion. Rendre l'incident public aurait pour conséquence "que nous nous retrouvions sous le feu des projecteurs avec Facebook, voire à sa place, bien que nous soyons jusqu'à présent passés sous le radar dans le scandale Cambridge Analytica", peut-on y lire. Cela garantirait aussi pratiquement que le patron de Google, Sundar Pichai, doive témoigner devant le Congrès, préviennent les experts.

L'analyse n'a pas été un facteur dans la décision de ne pas rendre la fuite de données publique, a assuré une partie prenante restée anonyme au Wall Street Journal. Elle reflète toutefois, selon lui, les divergences d'opinion sur la manière de gérer l'affaire. Pichai a d'ailleurs été convoqué de la même manière au Congrès - avec la directrice générale de Facebook Sheryl Sandberg et le patron de Twitter Jack Dorsey. Mais il n'a pas assisté à l'audition sur les campagnes de propagande russes lors des élections américaines il y a quelques semaines. Était-ce parce qu'il aurait pu se rendre coupable de parjure si la fuite de données chez Google Plus n'avait pas été mentionnée ?

Projet Zéro

Pourtant, Google s'est profilé ces dernières années comme un homme propre en matière de cybersécurité avec une politique de tolérance zéro en matière de failles. "Project Zero", une équipe interne de chercheurs en sécurité, passe également au crible les logiciels des autres à la recherche de failles - et leur donne ensuite 90 jours pour les colmater avant de rendre les informations publiques.

La procédure est controversée - "Project Zero" a toutefois révélé de graves vulnérabilités telles que la faille "Heartbleed" dans le cryptage OpenSSL très utilisé. Google avait ainsi instauré la confiance en tant que gardien fiable de la cybersécurité - une confiance qui est désormais égratignée par la fuite de données passée sous silence. Et la confiance des utilisateurs est la base du succès des projets d'avenir de Google, comme l'assistant numérique qui doit accompagner les gens dans leur vie quotidienne. (SDA)