Apple et Meta auraient fourni des informations confidentielles à des pirates s'étant fait fait passer pour des responsables des forces de l'ordre, rapporte Bloomberg. Adresse de l'utilisateur, numéro de téléphone et adresse IP, ce sont ces données que les deux entreprises ont livré mi-2021 en réponse à des requêtes urgentes bidonnées.

Ces informations obtenues indument ont été ensuite exploitées dans le cadre de campagne de harcèlement et pour faciliter des fraudes financières. Les plateformes sont tenues de fournir des informations d'ordre privé lorsqu'elles reçoivent un mandat signé par un juge, mais les requêtes urgentes peuvent s'en passer.

Entre juillet et décembre 2020, Apple a reçu 1 162 demandes de ce type dans 29 pays, et a fourni des données dans 93 % des cas. Il existe des garde-fous : Apple peut contacter un superviseur ou l'agent qui a soumis la requête à des fins de vérification. Le hic, c'est qu'il existe des dizaines de milliers d'agences dans le monde qui peuvent transmettre des requêtes urgentes, il n'y a pas de système centralisé qui permettrait de vérifier plus efficacement l'authenticité des documents (chez Apple, ils doivent être envoyés à une simple adresse mail).

Les pirates ont été suffisamment convaincants pour ne pas éveiller les soupçons des vérificateurs d'Apple. Les requêtes provenaient d'adresses mail officielles des forces de l'ordre (les informations de connexion à ces comptes sont vendues au plus offrant sur le dark web), et les documents paraissaient authentiques.

Le groupe à l'origine de cette opération, la Recursion Team, n'existerait plus aujourd'hui. Mais certains de ses membres feraient partie de Lapsus$, qui fait beaucoup parler en ce moment.