Le 20 octobre 2026, Meta a indiqué à Ars Technica avoir suspendu le partage de conversations dans Muse pendant l’examen du signalement de Claroc et l’étude de changements à la façon dont ces liens pouvaient être découverts. Claroc avait décrit des pages issues de conversations que des utilisateurs avaient choisi de partager, dont les adresses pouvaient être retrouvées grâce au DNS passif.
La question des données liées à Muse avait aussi été abordée dans notre précédent article sur les profils d’utilisateurs et de leurs contacts. Le signalement de Claroc porte ici sur la visibilité des pages partagées.
Comment les liens de partage pouvaient être retrouvés
Claroc décrit des noms d’hôte comprenant le titre de la conversation, un identifiant aléatoire et le domaine de contenu cf.metaaiusercontent.com. Le DNS passif conserve l’historique des noms observés lors de requêtes DNS. Quand quelqu’un ouvrait une page partagée, une requête pouvait donc faire enregistrer son nom d’hôte complet. Un service de DNS passif pouvait ensuite retrouver ce nom, titre compris : l’identifiant aléatoire ne masquait pas le reste de l’adresse.
Pour son repérage, Claroc dit avoir utilisé un service commercial de DNS passif et un seul motif de nom d’hôte, après avoir écarté le bruit lié aux réponses DNS génériques. Les plus de 6 800 noms d’hôte recensés ne représentent pas un nombre de personnes ni une mesure de l’exposition totale.
Ce que Claroc a observé dans les pages partagées
Lors de vérifications menées les 7 et 8 octobre 2026, Claroc a ouvert quelques centaines de pages. Une minorité contenait des informations sensibles, notamment des préparatifs d’entretien avec des dirigeants, des documents internes d’entreprise, un dossier de prêt, une alerte à la fraude bancaire, des données immobilières et un calendrier de congés du personnel. Claroc a déclaré n’avoir trouvé aucun indice d’utilisation abusive des pages.
Le contrôle du 20 octobre a porté sur 40 liens
Le 20 octobre, Claroc a réessayé 40 liens qui s’étaient ouverts plus tôt dans le mois : aucun n’a permis d’ouvrir la page lors de ce contrôle. Les noms d’hôte et les titres figuraient toujours dans l’historique DNS passif.
