Discord a annoncé avoir été touchée par une compromission d’ampleur impliquant un fournisseur tiers chargé de l’assistance technique. Dans un communiqué publié le 3 octobre et mis à jour par la suite, la plateforme précise que des acteurs malveillants ont accédé aux données d’utilisateurs ayant interagi avec les équipes de support et de “Trust & Safety”, notamment dans le cadre des vérifications d’âge.

Selon les informations rapportées par le site spécialisé CNET, les éléments compromis incluent des images de cartes d’identité gouvernementales utilisées pour la vérification de l’âge, ainsi que des informations personnelles telles que noms, pseudonymes Discord, adresses e-mail et autres coordonnées. Les échanges avec le support figurent également parmi les données dérobées. Discord indique que seuls les quatre derniers chiffres de certaines cartes de paiement ont pu être consultés, et affirme qu’aucun mot de passe ni donnée d’authentification n’a été compromis.

La société fait également état d’une tentative d’extorsion: les attaquants auraient réclamé une rançon pour éviter la divulgation des données. Discord assure ne pas avoir cédé et dit avoir coupé immédiatement l’accès du prestataire compromis à son système interne de tickets, tout en ouvrant une enquête approfondie en collaboration avec les autorités compétentes.

Si Discord évoque environ 70 000 comptes affectés, des chercheurs en cybersécurité rapportent que les assaillants revendiquent la copie de 1,5 téraoctet de données, comprenant plus de deux millions d’images liées aux dossiers de vérification d’âge—des affirmations démenties par l’entreprise.

Cet incident intervient dans un contexte de durcissement des législations sur la vérification de l’âge pour l’accès aux plateformes en ligne, poussant les entreprises à collecter des pièces hautement sensibles. Une dynamique qui, en cas d’attaque sur un maillon de la chaîne (prestataires, sous-traitants), accroît mécaniquement l’ampleur des fuites potentielles.

CNET recommande aux utilisateurs de renforcer leur hygiène numérique: surveiller les messages suspects et tentatives de phishing, et activer l’authentification à deux facteurs. Sur les forums Reddit, plusieurs utilisateurs ont par ailleurs critiqué la lenteur de traitement des demandes de vérification d’âge, estimant que ces délais et dysfonctionnements ont aggravé l’impact de la fuite.