Discord panique : 70 000 utilisateurs visés, découvrez si vos documents d’identité ont été compromis !

Une brèche massive dans Zendesk met en danger 70 000 utilisateurs Discord

Discord a confirmé que la plateforme de support client tierce, vraisemblablement Zendesk, a subi une intrusion le 20 septembre dernier. Cette faille a permis à des pirates d’accéder aux bases de données utilisées pour la gestion des tickets, entraînant le vol de documents d’identité de quelque 70 000 utilisateurs, selon l’entreprise. Des experts en cybersécurité estiment toutefois que le volume réel des données dérobées se rapprocherait de 2,1 millions de fichiers, soit une différence de plus de 2 millions de victimes potentielles.

Disparité des chiffres et manque de transparence

Dans son communiqué, Discord évoque “environ 70 000 comptes” affectés et assure avoir contacté chacun des utilisateurs concernés. À l’inverse, le collectif Scattered Lapsus$ Hunters, initialement suspecté, puis nié son implication, et d’autres groupes, affirment que plus de 2,1 millions de documents ont été exfiltrés, totalisant près de 1,5 To de données. Cette divergence met en lumière les difficultés d’estimation et la responsabilité de Discord dans la communication de la gravité de l’attaque.

Comment l’attaque s’est-elle déroulée ?

Les cybercriminels ont ciblé un compte employé disposant d’accès aux outils de support, leur ouvrant la porte vers l’instance Zendesk de Discord. Une fois à l’intérieur, ils ont pu consulter et copier :

Les identifiants personnels : nom, pseudonyme et adresse email associés au compte Discord.

Les adresses IP liées aux requêtes de support.

Les contenus des messages échangés avec le support client.

Les données de paiement : les quatre derniers chiffres de la carte de crédit et l’historique des achats.

Les scans de pièces d’identité (passeports, permis de conduire) fournis pour vérification d’âge.

Une attaque à visée lucrative

Les pirates ont alors demandé une rançon initiale de 5 millions de dollars, révisée à 3,5 millions, menaçant de diffuser publiquement l’ensemble des documents volés. Discord a catégoriquement refusé de payer, entraînant la mise en ligne programmée de ces données dans les jours à venir. Cet épisode soulève la question du chantage et du risque de publication massive d’informations personnelles et sensibles.

Enjeux juridiques et réglementaires

La conservation prolongée de documents d’identité après vérification pose un problème en conformité avec le Règlement général sur la protection des données (RGPD). Les articles 5 et 17 incitent les entreprises à ne conserver que les données strictement nécessaires et à respecter le droit à l’effacement. Discord devra expliquer :

Pourquoi les scans d’identité n’ont pas été supprimés aussitôt la vérification effectuée.

Comment les droits à la portabilité et à l’oubli seront garantis pour les comptes concernés.

Quelles mesures de sécurisation renforcées seront mises en place pour éviter un nouveau piratage.

Conséquences pour les utilisateurs

Les victimes courent plusieurs risques :

Usurpation d’identité : exploitation des scans pour créer de faux comptes ou documents frauduleux.

Phishing et arnaques : e-mails ciblés contenant des informations personnelles pour crédibiliser la tentative de fraude.

Atteinte à la vie privée : lecture de messages privés échangés avec le support, révélant potentiellement des sujets confidentiels.

Perte de contrôle : difficulté à suivre la circulation de ces données sur le dark web.

Recommandations pour renforcer votre sécurité

Face à cette situation, chaque utilisateur de plateformes similaires devrait :

Activer l’authentification à deux facteurs (2FA) pour tous les services sensibles.

Vérifier la date de péremption et le périmètre d’utilisation des documents fournis en ligne.

Consulter régulièrement ses comptes bancaires et ses rapports de crédit pour détecter toute activité suspecte.

Mettre à jour ses mots de passe, surtout si ceux-ci ont été réutilisés sur plusieurs services.

Surveiller les sites de ventes de données et signaler toute fuite vous concernant.

L’urgence d’une prise de conscience collective

Cette nouvelle brèche illustre la vulnérabilité des services en ligne dès lors qu’ils externalisent leur support client. Les entreprises doivent impérativement auditer leurs prestataires, limiter les accès privilégiés et renforcer leurs protocoles de sécurité pour protéger les informations les plus sensibles.