Fuite de données de Cuties AI en 2026

Les types de données répertoriés dans cette fiche sont les avatars, les noms d’affichage, les adresses e-mail, les prompts d’IA, les champs de description personnelle et les liens vers les contenus générés. Le rapprochement de l’adresse e-mail, du nom d’affichage et de l’avatar peut permettre de retrouver les profils d’un utilisateur sur différentes plateformes. Les prompts et les champs de description peuvent révéler les intentions de l’utilisateur en matière de création de visuels, ses préférences de contenu ou des éléments de sa vie privée. Les liens vers les contenus générés permettent de déterminer plus facilement quelles créations sont associées au compte. Ce type d’information est plus sensible que de simples données de profil, car il peut être détourné à des fins de pression sociale, d’atteinte à la réputation, de harcèlement, de chantage ou d’humiliation ciblée. Les mots de passe, les données de cartes de paiement, les adresses postales, les numéros de téléphone et les documents d’identité officiels ne font pas partie des catégories de données vérifiées pour cette fiche. Le risque réside dans le rapprochement entre l’identité associée au compte principal et le contexte privé de création de contenus.

Le principal chiffre vérifié est de 144 250 comptes associés à des adresses e-mail distinctes. Les descriptions de l’incident mentionnent des prompts utilisés pour générer des visuels pour adultes, des descriptions, des avatars, des noms d’affichage et des liens vers les contenus générés. Bien que le champ de préférence apparaisse comme une option de génération de contenus dans certains enregistrements, il n’a pas été classé sur cette page dans une catégorie distincte de données relatives à l’identité ou à l’orientation sexuelle. En effet, ce champ décrit le contexte de génération des contenus plutôt qu’il ne permet d’identifier avec certitude l’utilisateur. Cette fiche ne doit pas être interprétée comme décrivant une fuite de mots de passe ou de données de cartes de paiement. L’indicateur de données sensibles reste toutefois justifié : le rapprochement entre l’adresse e-mail et le contexte privé de génération de contenus accroît les risques sociaux, psychologiques et de sécurité pour l’utilisateur. La date retenue reste le 21 mars 2026, conformément à la période de mars 2026 durant laquelle l’incident a été rendu public.

Le principal groupe à risque comprend les personnes qui ont créé un compte Cuties AI, généré des visuels par IA dans un contexte de contenu pour adultes, utilisé un nom d’affichage ou un avatar et employé la même adresse e-mail pour d’autres comptes. Les personnes dont le nom d’affichage évoque leur véritable nom présentent un risque plus élevé de rapprochement entre leurs profils. Celles qui s’inscrivent avec une adresse e-mail utilisée dans un cadre professionnel, scolaire ou familial peuvent subir davantage de pression du fait du lien entre leur identité et leurs préférences privées. Les liens vers les contenus et les prompts peuvent permettre de tirer des conclusions sensibles sur l’utilisateur, même s’ils ne contiennent pas directement d’informations de paiement. Si la même adresse e-mail apparaît aussi sur des comptes de réseaux sociaux, de jeux, de forums ou sur des comptes professionnels, des attaquants peuvent croiser les informations issues de différentes sources pour créer des messages ciblés. Même les personnes qui ouvrent un compte d’essai de courte durée sur la plateforme sont exposées : leur adresse e-mail et les traces de création de contenus peuvent être remises en circulation dans des ensembles de données conservés durablement.

Si votre adresse e-mail figure dans cette fiche, assurez-vous d’abord que les autres comptes sur lesquels vous utilisez cette adresse disposent chacun d’un mot de passe unique et d’une authentification multifacteur. Même si la présence de mots de passe dans les données n’a pas été vérifiée, des attaquants peuvent exploiter ce contexte pour envoyer de fausses alertes concernant votre compte, de fausses demandes de suppression, de faux messages d’assistance ou des e-mails d’extorsion. Si vous recevez un tel message, ne payez rien, ne cliquez sur aucun lien et n’ouvrez aucun fichier qu’il contient. Si vous avez accès à votre compte, examinez le nom d’affichage, l’avatar et les informations de profil; si vous utilisez les mêmes informations sur d’autres plateformes, modifiez-les. Si vous avez utilisé une adresse e-mail professionnelle ou scolaire, vérifiez également la sécurité du compte correspondant auprès de l’établissement concerné. Pour votre sécurité personnelle, conservez les messages d’extorsion, de harcèlement ou de menace, notez les informations relatives à l’expéditeur et, si nécessaire, signalez-les à la plateforme, au fournisseur de messagerie ou aux autorités locales compétentes.

L’utilisation d’une adresse e-mail distincte ou d’un alias de messagerie pour les services d’IA et de contenu pour adultes relevant d’un usage privé réduit considérablement les risques à long terme. Le nom d’affichage, l’avatar et l’image de profil ne doivent pas laisser deviner votre identité réelle; évitez les informations permettant de vous relier à votre milieu professionnel, scolaire ou familial. Ne communiquez pas de véritables noms, d’adresses, de lieux de travail, d’établissements scolaires, de numéros de téléphone, de comptes de réseaux sociaux ou d’informations permettant d’identifier des tiers dans les prompts et les champs de description. Du côté de la plateforme, les exigences de sécurité de base comprennent des durées de conservation courtes pour les enregistrements de création de contenus, des contrôles d’accès aux liens, un traitement rapide des demandes de suppression des utilisateurs et des liens de contenu impossibles à deviner. Les utilisateurs devraient également fermer leurs comptes inutilisés, supprimer les anciens liens vers des contenus et réévaluer les risques de rapprochement avec des éléments de leur vie privée si la même adresse e-mail apparaît dans d’autres fuites.

La vérification sur LeakData vous indique si votre adresse e-mail figure dans la fuite de Cuties AI. Un résultat positif ne signifie pas que votre mot de passe ou les données de votre carte de paiement ont été exposés. Le risque vérifié tient au rapprochement entre votre adresse e-mail et les informations contextuelles contenues dans le nom d’affichage, l’avatar, le prompt, la description et le lien vers le contenu. Les mesures à prendre consistent à renforcer la sécurité de vos comptes, à vérifier les autres comptes utilisant la même adresse e-mail, à limiter les rapprochements entre profils susceptibles de révéler des éléments privés et à ne pas payer ni répondre aux messages d’extorsion. Si vous avez utilisé une adresse e-mail professionnelle ou scolaire, surveillez les tentatives de connexion inhabituelles sur le compte de l’établissement concerné. Le risque augmente lorsque la même adresse est rapprochée de données provenant d’autres fuites : des attaquants peuvent relier le contexte sensible de cette fiche à des noms, des noms d’utilisateur ou des profils de réseaux sociaux provenant d’autres sources pour créer des messages plus convaincants et plus préjudiciables.