Meta

🔍 Contexte Source : SecurityWeek, publié le 13 octobre 2026. Meta a notifié environ 1 500 personnes, majoritairement des employés basés aux États-Unis, suite à une intrusion dans plusieurs de ses dépôts GitHub privés. 🛠️ Déroulement de l’incident Un groupe externe non identifié a obtenu un accès aux dépôts GitHub de Meta en utilisant les identifiants volés d’un employé. L’intrusion a été détectée quelques semaines avant la publication de l’article. L’équipe de sécurité de Meta a coupé l’accès des attaquants et a fait appel à GitHub ainsi qu’aux forces de l’ordre. ...

🔍 Contexte Publié le 25 août 2026 par Amnesty International, ce rapport présente les résultats d’une expérience menée par l’organisation pour tester la robustesse des systèmes de modération publicitaire de Meta/Facebook à l’approche de l’élection présidentielle brésilienne du 4 octobre 2026. 🧪 Méthodologie de l’expérience Amnesty International a soumis 15 publicités en portugais brésilien à Facebook, ciblant la population brésilienne en âge de voter : 14 publicités contenaient de la désinformation électorale 1 publicité neutre sans désinformation (utilisée comme contrôle) Les publicités ont été soumises depuis Londres, sans VPN, depuis un compte non vérifié Aucune publicité n’a été mise en ligne, les chercheurs ayant annulé les publications acceptées Les publicités couvraient trois catégories tactiques : ...

🗓️ Contexte Publié le 28 septembre 2026 par Hunterbrook Media, cet article rapporte les résultats d’une investigation menée sur Muse, l’agent IA personnel lancé par Meta le 8 septembre 2026. Présenté comme « sûr, sécurisé et privé », Muse a rapidement atteint la première place des applications iPhone gratuites aux États-Unis avec plus de 3,4 millions de téléchargements. 🔍 Capacités problématiques découvertes Sur deux jours de tests (autour du 22 septembre 2026), les journalistes de Hunterbrook ont démontré que Muse peut, via de simples prompts en langage naturel, compiler des listes de 10 à 100 comptes Facebook, Instagram et Threads appartenant à des groupes vulnérables, notamment : ...

🎯 Contexte Article publié le 29 septembre 2026 sur le blog personnel du chercheur zonduu, décrivant une vulnérabilité critique découverte lors du live hacking event de Meta en mai 2026 à Taïwan. La cible était un service GraphRAG (IA d’assistance aux réunions) hébergé sur AWS ECS Fargate, dans un environnement de développement sous le domaine *.aws.metafb.cloud. 🔗 Chaîne d’exploitation Le chercheur a enchaîné quatre vulnérabilités distinctes : Clé API hardcodée dans un chunk JavaScript Next.js côté client (apprunner_fast_graphrag_fgr_k3y_8x4n9p2q...), donnant accès à l’ensemble de l’API GraphRAG Path traversal sur le champ filename de l’endpoint load_datasources, permettant une écriture arbitraire de fichiers (ex: ../../h1_rce_module4.py → site-packages) Path traversal sur le paramètre dataset de l’endpoint /visualize, permettant de pointer vers un répertoire arbitraire Désérialisation pickle non sécurisée (pickle.loads() sans vérification de signature) sur l’endpoint /visualize, chargeant un fichier graph_igraph_data.pklz contrôlé par l’attaquant 💥 Impact RCE en tant que root (uid=0(root) gid=0(root)) sur le conteneur ECS Fargate Accès en lecture/écriture à 3 287 sessions réelles de transcriptions de réunions IA stockées dans S3 et DynamoDB Exfiltration des credentials AWS ECS task role via le metadata service (169.254.170.2) Accès complet à 17 secrets dans AWS Secrets Manager, dont : fb_client_secret (OAuth Meta/Facebook) okta/client-secret (SSO) JWT_SECRET (forgerie de tokens) OPENAI_API_KEY Plusieurs paires de clés LiveKit (accès/enregistrement de rooms) Deux comptes de service GCP (dont un nommé sso-admin) Validation des accès GCP via gcloud auth print-access-token ⏱️ Timeline 19 avril : Rapport initial → évaluation en 1h30, PoC complet demandé le soir même 20 avril ~4h40 : Rotation des credentials déjà en cours 8 mai : Paiement de la prime : 525 USD (500 + 25 bonus) 📄 Type d’article Write-up technique détaillé de bug bounty (post-mortem offensif), dont le but est de documenter publiquement la chaîne d’exploitation, les preuves d’impact et le déroulement de la divulgation responsable. ...

📅 Source : Malwarebytes Blog, publié le 9 juillet 2026. Contexte Le 7 juillet 2026, Meta a lancé Muse Image, un modèle de génération d’images IA intégré aux comptes Instagram publics. Cette fonctionnalité permet à tout utilisateur de générer des images synthétiques d’une personne en mentionnant simplement son handle Instagram dans un prompt, sans notification à la personne concernée. Fonctionnement et risques La fonctionnalité est activée par défaut pour tous les comptes Instagram publics. Les utilisateurs ne sont pas notifiés lorsque leur image est utilisée pour générer du contenu IA. L’opt-out n’est pas rétroactif : les images déjà générées avant la désactivation restent en circulation. Des cybercriminels exploitaient déjà les photos publiques Instagram pour créer des deepfakes à des fins de fraude à la vérification d’identité (selon Axios, juin 2026). Muse Image abaisse la barrière à la création d’images synthétiques pouvant être utilisées pour l’usurpation d’identité, les arnaques ou d’autres abus. Les cybercriminels combinent déjà l’IA générative avec des outils automatisés pour scaler le phishing et la fraude. Vulnérabilité connexe Plus tôt en 2026, des chercheurs ont divulgué une faille de type “confused deputy” dans le chatbot de support IA de Meta, permettant des modifications de compte (changement d’adresse email, réinitialisation de mot de passe) sans vérification adéquate de l’identité de l’interlocuteur. ...

🗓️ Contexte Publié le 2 juillet 2026 par The Register, cet article rapporte une confrontation réglementaire entre le gouvernement indien et Meta/WhatsApp autour du déploiement d’une nouvelle fonctionnalité permettant aux utilisateurs de communiquer via un pseudonyme plutôt qu’un numéro de téléphone. 📋 Faits principaux WhatsApp a annoncé le 29 juin 2026 la possibilité pour ses utilisateurs de réserver un pseudonyme, utilisable à la place du numéro de téléphone lors de la prise de contact. Le déploiement effectif est prévu plus tard dans l’année. ...

📰 Source : KrebsOnSecurity | Date : 1er juin 2026 Des hackers se revendiquant pro-iraniens ont découvert et exploité une faille dans le bot d’assistance IA de Meta (Instagram), permettant de réinitialiser le mot de passe de n’importe quel compte sans authentification préalable du propriétaire légitime. 🎯 Comptes ciblés et impact Les comptes Instagram de la Obama White House et du Chief Master Sergeant of the U.S. Space Force ont été brièvement défigurés avec des images et messages pro-iraniens. Des comptes à noms courts (valeur de revente estimée à plus d’un demi-million de dollars) ont également été compromis. ...

🔍 Contexte Publié le 30 avril 2026 sur Security Affairs par Pierluigi Paganini, cet article relate une controverse interne au sein du Département du Commerce américain concernant la nature réelle du chiffrement de WhatsApp (Meta). 📋 Faits rapportés En début 2026, un agent spécial du Bureau of Industry and Security (BIS) a conduit une enquête interne de 10 mois, baptisée « Operation Sourced Encryption ». Le 16 janvier 2026, il a diffusé un email à plus d’une douzaine de responsables fédéraux exposant ses conclusions préliminaires : ...

📰 Source : The Guardian | Date : 7 avril 2026 | Contexte : Incident de sécurité interne chez Meta, révélé plus d’un an après sa découverte, faisant l’objet d’une enquête criminelle au Royaume-Uni. 🔍 Nature de l’incident Un ancien employé de Meta, résidant à Londres, est soupçonné d’avoir accédé et téléchargé environ 30 000 images privées appartenant à des utilisateurs de Facebook, pendant qu’il était encore en poste au sein de l’entreprise. ...

🏛️ Contexte Article publié le 25 mars 2026 par Ars Technica, relatant l’issue du premier des trois procès civils en matière de sécurité des enfants auxquels Meta fait face en 2026, devant un tribunal d’État du Nouveau-Mexique. ⚖️ Verdict et fondements Le jury a délibéré une seule journée avant de condamner Meta à 375 millions de dollars de dommages civils pour violation des lois de protection des consommateurs de l’État et tromperie envers les parents sur la sécurité de ses applications. ...