Cette application pour partager vos secrets n'était pas si anonyme

Whisper, une application conçue pour permettre aux internautes de révéler leurs secrets les plus intimes de façon anonyme, a exposé sans le savoir des informations sensibles de centaines de millions d’internautes, et ce, sur une période de huit ans, selon ce que rapporte le Washington Post.

Les publications, appelées whispers (ou chuchotements, en français) consistent en des photos sur lesquelles on superpose du texte. Les images d’arrière-plan proviennent de la propre base de données de la plateforme ou sont téléversées par l’internaute.

Peu populaire à ses débuts en 2012, Whisper est aujourd’hui utilisée par plus de 30 millions de personnes par mois, dont de nombreux jeunes âgés de moins de 18 ans. 

Toutes sortes d’informations personnelles y sont partagées, de l’orientation sexuelle aux fétiches en passant par des anecdotes anodines, des messages inspirants et des questionnements sur les relations interpersonnelles. On peut y trouver des publications du genre « j’ai marié la mauvaise personne » ou encore « mes parents m’ont envoyé en pensionnat parce que je suis tombée enceinte ».

Près de 900 millions de personnes touchées

Matthew Porter et Dan Ehrlich, deux consultants en cybersécurité à la tête de la firme TwelveSec, ont été en mesure d’accéder aux dossiers de près de 900 millions d’utilisateurs et d’utilisatrices, partagés depuis 2012. Ils ont accédé aux informations à partir d'une base de données trouvée sur le web, non protégée par mot de passe et ouverte au public.

Comme Whisper est anonyme, le nom des internautes n’a pas été exposé, mais d’autres informations ont fuité, comme leur âge, leur emplacement, leur origine ethnique, leur lieu de résidence, leur surnom dans l’application et leur appartenance aux différents sous-groupes de la plateforme, dont plusieurs sont reliés aux aveux de nature sexuelle ou aux désirs inavoués.

Les deux consultants ont contacté Whisper et les autorités fédérales américaines pour les alerter de la situation, avant de communiquer avec le Washington Post. Ce n’est qu’au moment où le journal a approché Whisper que sa société mère MediaLab a rendue privée la base de données en question.

Avant que MediaLab réagisse, un journaliste du Washington Post a pu naviguer librement dans la base de données et a découvert qu'un nombre élevé d'utilisateurs et d'utilisatrices étaient des enfants. Une recherche des membres qui précisaient être âgés de 15 ans a donné 1,3 million de résultats.

« Cela viole les normes éthiques et sociétales qui existent autour de la protection des enfants en ligne », a affirmé Dan Ehrlich au Washington Post.

L’entreprise se défend

MediaLab conteste les conclusions des deux chercheurs, affirmant que l’information était censée être accessible au grand public et que l’option de la partager ou non revenait à l’internaute.

Il s'agit d'une défense assez mince, selon Kyle Olbert, un militant des droits de la personne qui a pris connaissance de la recherche.

Le gros problème ici, c’est qu’ils ont exposé les données des internautes en masse. [Il y a une] différence entre donner votre carte professionnelle à quelqu’un et Whisper qui divulgue un annuaire téléphonique en entier, explique-t-il.

Peu importe ce qui se passe à partir de maintenant, les données ont été exposées durant des années, poursuit M. Olbert. Des personnes pourraient voir leur vie ruinée ou leur famille être victime de chantage à cause de cela.

Avec les informations de Washington Post et The Verge