Un nouveau rapport accablant de l'Ofcom , l'autorité britannique de régulation des communications, livre un verdict sans appel : TikTok et YouTube Les flux de contenu de [nom de la plateforme] ne sont pas suffisamment sûrs pour les enfants. Il ne s'agit pas d'une simple réprimande réglementaire. L'Ofcom lance un avertissement à tous les professionnels de la cybersécurité, du renseignement sur les menaces et de la sécurité en ligne.
Selon ses propres termes :
« Notamment, TikTok et YouTube Ils n'ont pas pris d'engagements significatifs pour réduire le contenu préjudiciable diffusé aux enfants, affirmant que leurs flux sont déjà sans danger pour eux.
Du côté positif, Snap, Meta et Roblox ont convenu d'adopter des mesures de sécurité supplémentaires pour protéger les enfants contre le harcèlement en ligne et les « dangers liés aux inconnus ».
La BBC rapporte qu'une enquête de l'Ofcom a révélé que 84 % des enfants de 8 à 12 ans utilisaient encore au moins un service majeur exigeant un âge minimum de 13 ans. Nous avions déjà signalé la facilité avec laquelle il était possible de contourner certains systèmes de vérification d'âge. Des chercheurs utilisant des comptes de moins de 13 ans ont également signalé avoir été confrontés à du contenu sexuel et à un langage offensant peu après avoir accédé à certains jeux Roblox.
À propos de Roblox, le Guardian rapporte que des associations américaines de défense des droits des joueurs ont officiellement demandé à la Federal Trade Commission (FTC) d'enquêter sur Roblox pour ce qu'elles qualifient de pratiques « déloyales et trompeuses ». La plainte porte sur :
- Achats intégrés incitant les enfants à dépenser de l'argent
- Fonctionnalité de chat exposant les enfants à des inconnus
- Des fonctionnalités conçues pour maximiser l'engagement, mais que les critiques jugent potentiellement addictives.
Drew Benvie, PDG de Battenhall et fondateur de l'association à but non lucratif Raise, qui œuvre pour la sécurité des jeunes, a fait remarquer :
« Bien que Roblox mette en place de nouvelles mesures de sécurité basées sur l'âge, les jeunes joueurs sont passés maîtres dans l'art de contourner ces protections. »
Le point de vue de la cybersécurité
Ce qui préoccupe les chercheurs en cybersécurité, c'est un autre aspect de ce problème. De nombreuses solutions de vérification d'âge proposées exigent que les utilisateurs fournissent des pièces d'identité officielles ou des données biométriques issues d'un selfie. Nous en avons déjà parlé dans notre article de blog : « Vérification d'âge : protection de l'enfance ou risque pour la vie privée ? »
Les systèmes de vérification de l'âge créent des opportunités massives de collecte de données qui deviennent des cibles privilégiées pour :
- Fuites de données exposant des informations personnelles sensibles (PII)
- Identity le vol facilité par les bases de données d'identité centralisées
- Le vol de données biométriques, qui ne peuvent être modifiées comme les mots de passe.
- Logiciels malveillants et escroqueries ciblant les utilisateurs sur des plateformes moins sécurisées
Lorsque les restrictions poussent les jeunes utilisateurs vers des sites plus petits ou moins sécurisés, ils rencontrent :
- Aucune protection de sécurité de base
- Exposition accrue aux logiciels malveillants
- Augmentation des risques d'hameçonnage et d'escroquerie
- Contenu nuisible non modéré
C’est précisément ce que nous constatons dans le renseignement sur les menaces : à mesure que les défenseurs sécurisent un vecteur, les cybercriminels s’adaptent et se déplacent ailleurs.
Des systèmes plus sûrs l'emportent sur des restrictions d'âge plus strictes.
La protection des enfants doit s'articuler autour de la création d'expériences numériques globalement plus sûres. C'est la seule voie viable à suivre car :
- Une modération plus stricte supprime réellement les contenus nuisibles au lieu de simplement bloquer l'accès.
- Des systèmes de recommandation plus sûrs empêchent l'amplification algorithmique des contenus nuisibles.
- Une meilleure responsabilisation des plateformes signifie que les entreprises ne peuvent plus privilégier l'engagement au détriment de la sécurité.
- Éviter la collecte intrusive de données empêche la création de vastes pièges à attaquants.
En tant qu'analyste quotidien de logiciels malveillants et de menaces, je peux vous l'affirmer : la sécurité par l'obscurité (contrôle d'âge) est inefficace. En revanche, la sécurité par une conception système robuste (modération, algorithmes plus sûrs, responsabilisation) est efficace.
Les escrocs n'ont pas besoin de vous pirater. Il leur suffit que vous cliquiez une seule fois.
Malwarebytes Identity Theft Protection détecte les activités suspectes avant qu'elles ne deviennent un problème.
