Dans une note publiée lundi par Google, lorsque le personnel technique de la société a découvert le bogue en mars, ils ont décidé de ne pas divulguer le problème aux utilisateurs, car ils n’avaient pas trouvé qui que ce soit qui avait été affecté.
Dans l’article de blog, Google a déclaré que son «Bureau de la protection des données et de la vie privée» avait décidé que la société n’était pas tenue de signaler le problème de sécurité. Google a examiné «le type de données en cause, si nous pouvions identifier avec précision les utilisateurs à informer, s’il existait des preuves d’utilisation abusive et si un développeur ou un utilisateur pouvait prendre des mesures en réponse. Dans ce cas, aucun de ces seuils n’a été atteint », a écrit Ben Smith, vice-président de l’ingénierie chez Google.
Jusqu’à 438 applications ont peut-être eu accès à cette vulnérabilité, mais Google a déclaré n’avoir trouvé aucune preuve indiquant que les développeurs extérieurs étaient au courant de la faille de sécurité ni aucune indication qu’un profil utilisateur aurait été utilisé de manière abusive.
L’incident pourrait faire l’objet d’un examen plus approfondi en raison d’une note adressée aux cadres supérieurs qui aurait été préparée par les équipes de la police et des services juridiques de Google. Ces derniers ont mis en garde sur l’embarras pour Google, semblable à ce qui est arrivé à Facebook plus tôt cette année, si cette vulnérabilité était rendue publique.
La décision de fermer Google+ faisait partie d’un vaste examen de la quantité d’informations utilisateur que Google partage avec des développeurs tiers. Google, une unité d’Alphabet, a également déclaré limiter les applications pouvant fonctionner avec Gmail, le service de messagerie de la société, et limiter la quantité de données auxquelles les développeurs peuvent accéder via Android, le logiciel de smartphone de Google.
Le chiffre avancé par Google n’est pas étonnant, mais il est éloquent : sur Google+, 90 % des sessions duraient moins de 5 secondes. Preuve, s’il en fallait, que le « nombre d’utilisateurs actifs d’un réseau social » ne permet pas de se représenter l’engagement réel des internautes avec un service. Dans ce cas présent, Google+ était dans un état de végétation avancé depuis de longues années, hormis pour une poignée d’irréductibles fans de la première heure.