Une enquête technique indépendante réalisée par Fairlinked (Alliance for digital fairness) e.V. révèle une pratique particulièrement préoccupante : à chaque chargement de linkedin.com sur un navigateur basé sur le moteur Chromium, LinkedIn exécute un code JavaScript qui procède à un scan silencieux et systématique des extensions installées sur votre navigateur.
Ce mécanisme, nouvellement baptisé BrowserGate, fonctionne sans aucune information ni consentement de l’utilisateur.
Le tout s’exécute sans impact visible (via requestIdleCallback), sans trace console et sans aucune mention dans la politique de confidentialité de LinkedIn.
Il permet à LinkedIn de détecter des milliers d’extensions et d’en extraire des informations sensibles, notamment via un système de fingerprinting avancé et un transfert de données vers ses serveurs ainsi qu’à des tiers (notamment via l’iframe li.protechts.net de HUMAN "Security", heureusement bloqué automatiquement chez moi).
Ces données sont liées au profil LinkedIn de l’utilisateur (nom, employeur, poste).
Les conséquences sont graves.
Ces scans exposent des catégories particulières de données personnelles (art. 9 RGPD) : opinions politiques, convictions religieuses, état de santé ou handicap (outils pour neurodivergents), intention de changement d’emploi, ou encore les outils logiciels utilisés par votre entreprise.
Le tout sans base légale valable et en violation du RGPD, de la directive ePrivacy et des textes nationaux dont la loi Informatique et Libertés.
Les preuves techniques sont publiques sur le site que je joindrai en source de cet article.
Cette affaire intervient en récidive après la sanction de 310 millions d’euros prononcée par la DPC irlandaise en octobre 2024 pour manquements au RGPD.
Pour rappel, des plaintes sont actuellement déposées et en cours d'instruction concernant l’entraînement des modèles d’IA sur la base d’un simple mécanisme d’opt-out sur LinkedIn : la tolérance des autorités de protection des données ne saurait suppléer l’absence de base légale conforme au droit positif en vigueur.
Les entreprises et particuliers concernés sont invités à la plus grande vigilance.
Comme je l'indique malheureusement de plus en plus souvent, il ne faut pas compter sur de simples textes et sur leur (absence d') application : seuls une protection technique et un mindset privacy protègent et rendent véritablement effectif le droit à la vie privée garanti par les textes.
Concernant Chromium, il est impératif de passer sous le navigateur Brave qui bloque le flicage par défaut, ou sinon d'installer uBlock Origin Lite, pour bloquer l’iframe li.protechts.net, plusieurs endpoints de télémétrie LinkedIn (/li/track, /sensorCollect, etc.) et limiter fortement l’exfiltration des données collectées.
Pour l'iframe mis en cause, utiliser des outils de protection de la vie privée a bel et bien permis de limiter partiellement la casse avant même la révélation de cette nouvelle méthode de flicage :
(capture d'écran de requêtes DNS bloquées avec filtre HaGeZi).
Il est aussi possible de confirmer après lecture de logs qu'uBo bloque cet iframe au niveau du navigateur et non au niveau du réseau, ce qui est complémentaire.
Au vu des faits et pour compléter l'action déjà entamée en Allemagne, mon cabinet déposera une plainte devant la CNIL qui aura vocation à être transmise à l'APD irlandaise.
Source :
- LinkedIn Is Illegally Searching Your Computer - Microsoft is running one of the largest corporate espionage operations in modern history : https://browsergate.eu/
Crédits image : Unsplash - dlxmedia.hu