Violation de données chez Discord (74 729 personnes touchées)

Le dossier du procureur général du Texas et les avis envoyés aux utilisateurs concernés indiquent que l’accès non autorisé a eu lieu le 20 septembre 2025. Selon le dossier de l’autorité de contrôle, l’incident a été découvert le 25 septembre; Discord a publié son avis le 3 octobre et l’a mis à jour le 9 octobre.

Discord a déclaré que l’auteur de l’accès non autorisé avait ciblé le service d’assistance tiers dans le but d’extorquer une rançon. Les documents publics ne précisent pas la méthode technique utilisée pour obtenir l’accès initial.

Le dossier BR-0004706 du procureur général du Texas fait état de 74 729 personnes touchées à l’échelle nationale, dont 1 465 résidents du Texas. Le nombre de résidents du Texas est inclus dans le total national et n’a pas été compté une seconde fois.

Discord a indiqué séparément que les photos de pièces d’identité officielles d’environ 70 000 utilisateurs avaient pu être exposées après leur transmission dans le cadre de recours liés à l’âge. Ce chiffre ne correspond pas au nombre total d’utilisateurs touchés : il désigne un sous-ensemble des 74 729 personnes concernées par l’incident, pour lesquelles des données sensibles étaient en jeu.

Selon Discord, les données ont pu comprendre les noms, les noms d’utilisateur Discord, les adresses e-mail et autres coordonnées fournies à l’assistance, les adresses IP, les messages et pièces jointes partagés avec les agents de l’assistance clientèle, le type de paiement, les quatre derniers chiffres des cartes de paiement et l’historique des achats. Pour certains utilisateurs, des images de pièces d’identité officielles, comme des permis de conduire ou des passeports, étaient concernées.

Le dossier du Texas mentionne également les adresses et les dates de naissance. Les données concernées ont pu varier d’une personne à l’autre. Discord a déclaré que les numéros complets des cartes et leurs codes de sécurité, les mots de passe, les données d’authentification, ainsi que les messages ou activités sur Discord en dehors des échanges avec l’assistance n’étaient pas concernés.

Les images de pièces d’identité, les dates de naissance et les adresses peuvent faciliter l’usurpation d’identité ou des demandes frauduleuses d’ouverture de compte. Les adresses e-mail, les noms d’utilisateur et l’historique des échanges avec l’assistance peuvent également rendre plus crédibles des messages d’hameçonnage se faisant passer pour Discord.

Les messages et pièces jointes transmis à l’assistance peuvent contenir des informations différentes selon les personnes. Les quatre derniers chiffres d’une carte ne suffisent pas, à eux seuls, à autoriser un paiement. Toutefois, associés au contexte des achats et des échanges avec l’assistance, ils peuvent servir à formuler de fausses demandes de remboursement, d’abonnement ou de récupération de compte.

Discord a déclaré avoir révoqué l’accès de 5CA au système de gestion des demandes d’assistance, lancé une enquête interne et une investigation numérique, fait appel aux forces de l’ordre et informé les autorités compétentes en matière de protection des données. L’entreprise a également réexaminé les dispositifs d’audit et les mesures de sécurité applicables aux prestataires tiers d’assistance.

Discord a indiqué que les utilisateurs concernés seraient contactés uniquement par e-mail depuis l’adresse noreply@discord.com et que l’entreprise ne les appellerait pas au sujet de cet incident. Un appel au cours duquel des informations ou un paiement sont demandés ne correspond donc pas aux modalités annoncées dans l’avis officiel de Discord.

Si vous avez été informé qu’une image de votre pièce d’identité a pu être concernée, suivez les démarches propres à votre pays indiquées dans l’avis reçu. Envisagez une surveillance de votre dossier de crédit, la mise en place d’une alerte à la fraude ou d’un gel de votre dossier de crédit, ainsi qu’une prise de contact avec l’autorité ayant délivré le document, le cas échéant.

Si vous avez reçu un avis, vérifiez les opérations effectuées avec votre carte et votre historique d’achats afin de repérer les transactions que vous ne reconnaissez pas. Accédez directement à l’application ou au site officiel de Discord plutôt que de suivre les liens de messages inattendus d’assistance ou de récupération de compte. Les mots de passe ne faisaient pas partie du périmètre déclaré de l’incident; toutefois, changez tout mot de passe saisi sur une page frauduleuse ou réutilisé ailleurs.