Discord : une faille expose les photos d'identité de millions d'utilisateurs
Discord n'a pas fini de surprendre ses utilisateurs... mais ce n'est pas vraiment une bonne nouvelle cette fois. Une faille côté support a exposé des données personnelles hautement sensibles, dont des photos de justificatifs d'identité, pour un nombre d'utilisateurs bien plus important que ce qu'on pensait au départ.
Un incident de sécurité impliquant le partenaire support externe de Discord, Zendesk, vient d'éclater au grand jour, et le bilan s'alourdit. D'abord présentée comme limitée, la fuite concernerait en réalité jusqu'à 2,1 millions de photos de documents officiels envoyées par les utilisateurs, principalement pour la vérification d'âge.
À l'origine, Discord avait communiqué sur une brèche ayant permis l'accès à certaines données : noms, identifiants, adresses e-mail, détails partiels de paiement, et échanges avec l'assistance. Précision initiale : seuls des « petits volumes » d'images d'identités (passeports, permis de conduire) étaient concernés parmi les comptes ayant contacté le support pour vérification d'âge. Mais de nouveaux éléments publiés par des experts en cybersécurité et le groupe VX-Underground montrent que ce chiffre est massivement sous-évalué. Les pirates, qui détiennent un accès aux bases Zendesk, menacent désormais de publier ces millions de documents.
Des utilisateurs exposés et Discord dans la tourmente
Selon Discord, les usagers concernés recevront un mail officiel en cas de risque avéré : aucune prise de contact ne se fera par téléphone. Les données bancaires (numéros complets de carte) et mots de passe ne seraient pas concernées par la fuite. Mais le vol de photos de cartes d'identité crée une situation à haut risque, tant pour les tentatives de fraude que pour l'usurpation d'identité.
L'incident ne touche pas directement les serveurs Discord : c'est un prestataire externe qui a été visé, pointant une fois de plus les failles potentielles dans la gestion de partenaires et l'importance du stockage sécurisé de documents sensibles. Discord affirme avoir coupé l'accès à Zendesk, notifié la CNIL et collaborer avec la police. Le réseau social recommande une vigilance accrue aux membres pour détecter toute tentative de phishing ou communications suspectes dans les prochaines semaines.
publié le , William Zimmer de Humanoid