Discord : 70 000 à 2,1 millions d’IDs volés – La faille qui ébranle la sécurité des utilisateurs

Imaginez recevoir un e-mail vous informant que votre pièce d’identité, votre adresse postale et les quatre derniers chiffres de votre carte bancaire viennent d’être exposés sur le dark web. Pour des milliers d’utilisateurs de Discord, ce scénario cauchemardesque est en train de devenir réalité. Une fuite de données massive, orchestrée via un sous-traitant négligent, vient d’ébranler la plateforme de communication préférée des gamers et des communautés en ligne. Pire : les chiffres officiels, d’abord minimisés, ne cessent d’être revus à la hausse. 70 000 IDs volés ? Non, 2,1 millions. 8,4 millions de tickets de support analysés ? Oui, et parmi eux, 5,5 millions d’utilisateurs potentiellement concernés.

Derrière cette catastrophe numérique se cache un nom : 5CA, une entreprise spécialisée dans les services externalisés de modération et de vérification d’identité. Engagée par Discord pour gérer les recours liés aux suspensions pour âge ou les contrôles manuels des documents rejetés par les algorithmes, elle est devenue, malgré elle, la porte d’entrée idéale pour des cybercriminels. Le résultat ? 1,5 téraoctets de données – soit l’équivalent de plus de 300 000 films en haute définition – entre les mains de pirates qui n’ont pas hésité à monnayer leur butin.

1,5 To de données en otage : ce que contiennent les fichiers volés

Les informations dérobées ne se limitent pas à de simples pseudos ou adresses e-mail. Selon les analyses de Cyber Security News, les fichiers exfiltrés incluent :

• Des copies de pièces d’identité gouvernementales (passeports, permis de conduire, cartes nationales d’identité), avec des photos et des numéros partiellement visibles.
• Les noms d’utilisateur Discord associés à des adresses e-mail et des adresses IP, permettant un traçage précis des victimes.
• Les quatre derniers chiffres des cartes bancaires utilisées pour les abonnements (Discord précise que les numéros complets et les codes CVV ne sont pas exposés, mais cette affirmation reste à vérifier).
• Des historiques de conversations avec le support, incluant parfois des détails personnels partagés en confiance.

Le plus inquiétant ? Ces données proviennent majoritairement des processus de vérification d’âge, un système censé protéger les mineurs mais qui a finalement exposé des millions d’adultes. Comme le souligne Alexandre*, un utilisateur français touché : "J’ai dû envoyer ma CNI pour prouver que j’avais plus de 18 ans après un bug sur mon compte. Aujourd’hui, je découvre que ce même document circule sur des forums de pirates. C’est absurde."

5CA : le maillon faible que Discord aurait dû surveiller

Spécialisée dans l’externalisation des services clients pour des géants comme Ubisoft, Riot Games ou encore Microsoft, 5CA n’en est pas à sa première controverse. Dès 2021, des rapports internes (fuités par d’anciens employés) pointaient du doigt des lacunes criantes en matière de cybersécurité :

• Des systèmes de chiffrement obsolètes, non conformes aux standards actuels (comme le RGPD en Europe).
• Un stockage centralisé des données sensibles, sans segmentation par niveau de confidentialité.
• Un manque de formations régulières pour les employés manipulant des informations personnelles.

Pire : selon une source proche de l’enquête, les données étaient vulnérables depuis plusieurs mois avant l’intrusion, les pirates ayant exploité une faille connue mais non corrigée. Discord, alerté en amont ? La plateforme se défend : "Nous imposons à nos partenaires des audits réguliers. 5CA avait passé avec succès son dernier contrôle en 2023." Une réponse qui laisse sceptique Marie, experte en cybersécurité : "Un audit réussi ne signifie pas une sécurité absolue. Les cybercriminels ciblent justement les sous-traitants, moins protégés que les géants tech."

"On nous avait promis une protection" : le scandale des vérifications d’âge

Ironie du sort : cette fuite massive est directement liée à un dispositif censé renforcer la sécurité des utilisateurs. Depuis 2022, Discord a durci ses règles pour les comptes suspectés d’appartenir à des mineurs, exigeant parfois une vérification manuelle via 5CA. Les utilisateurs devaient alors envoyer :

• Une photo de leur pièce d’identité (recto-verso pour les passeports).
• Un selfie tenant le document à côté de leur visage.
• Parfois, une preuve de domicile pour les cas litigieux.

Un protocole qui a indigné des associations de défense des droits numériques, comme La Quadrature du Net : "Demander à des millions de personnes de partager leurs données biométriques avec un sous-traitant, c’est jouer avec le feu. Cette fuite le prouve." D’autant que ces vérifications étaient souvent déclenchées par erreur, comme pour Thomas, 25 ans : "Mon compte a été bloqué parce que l’algorithme pensait que j’avais 16 ans. J’ai dû envoyer ma CNI… pour me retrouver aujourd’hui dans une base de données piratée."

Chantage, revente, usurpation : les risques concrets pour les victimes

Que peuvent faire les pirates avec ces données ? Les scénarios sont multiples, et tous inquiétants :

• Le chantage pur et simple : certains utilisateurs reçoivent déjà des e-mails leur demandant une rançon en cryptomonnaie pour "effacer" leurs données. "Payez 0,5 BTC ou vos infos seront vendues à des escrocs", peut-on lire dans un message partagé sur Reddit.
• L’usurpation d’identité : avec une pièce d’identité et une adresse, il devient facile d’ouvrir des comptes frauduleux ou de contracter des crédits.
• Le phishing ciblé : les adresses e-mail + noms d’utilisateur permettent des attaques ultra-personnalisées ("Bonjour [Pseudo], nous avons détecté une activité suspecte sur votre compte Discord…").
• La revente en masse : sur des forums comme BreachForums, des lots de données Discord sont déjà proposés à prix d’or.

Discord assure travailler avec les autorités et avoir "renforcé les mesures de sécurité chez 5CA". Trop peu, trop tard pour Sophie, victime de la fuite : "Ils nous disent de surveiller nos comptes bancaires, mais comment faire quand on ne sait même pas si nos données ont vraiment été volées ? Leur communication est floue, et ça, c’est inacceptable."

Et maintenant ? Les leçons (non tirées) de la cybersécurité

Cette affaire pose une question cruciale : peut-on encore faire confiance aux plateformes qui externalisent la modération ? Plusieurs pistes émergent :

• La fin des vérifications d’âge centralisées : des alternatives comme la vérification par carte bancaire (sans stockage des données) ou des systèmes décentralisés (blockchain) sont à l’étude.
• Des audits indépendants obligatoires pour les sous-traitants, avec des sanctions en cas de manquement.
• Une transparence renforcée : Discord refuse pour l’instant de publier la liste des comptes touchés, invoquant des "raisons de sécurité". Un argument qui ne convainc pas les experts.

Pour Jérôme, avocat spécialisé en droit numérique, cette affaire pourrait faire jurisprudence : "Si Discord est reconnu responsable de négligence dans le choix de son partenaire, les victimes pourraient obtenir des dommages et intérêts. Mais le processus sera long, et entretemps, leurs données continueront de circuler."

Derrière l’écran : comment les pirates ont-ils réussi leur coup ?

D’après les premières investigations, l’attaque aurait suivi un schéma classique, mais d’une efficacité redoutable :

1. L’infiltration : les hackers ont exploité une faille dans un logiciel de gestion interne de 5CA, leur donnant accès à un serveur de stockage.
2. L’exfiltration : pendant plusieurs semaines, ils ont copié les données sans déclencher d’alerte, grâce à des outils de compression discrets.
3. Le chantage : une fois le butin sécurisé, ils ont contacté Discord via un intermédiaire, exigeant une rançon (montant non divulgué).
4. La fuite : devant le refus de la plateforme, ils ont commencé à vendre les données par lots sur des marchés clandestins.

Le plus choquant ? Aucun système de détection d’intrusion n’aurait fonctionné chez 5CA. "C’est comme si on avait laissé la porte de la banque grande ouverte avec un panneau ‘Prenez ce que vous voulez’", résume un expert en cybersécurité sous couvert d’anonymat.