[MàJ] Fuite de données et pièces d’identité : Discord pointe du doigt 5CA, qui réfute

Mise à jour du 15 octobre à 15 h. Dans un nouveau rebondissement, 5CA affirme ne pas être à l’origine de la fuite : « nous pouvons confirmer qu’aucun des systèmes de 5CA n’était impliqué et que 5CA n’a traité aucune pièce d’identité émise par le gouvernement pour ce client […] Sur la base des résultats intermédiaires, nous pouvons confirmer que l’incident s’est produit en dehors de nos systèmes et que 5CA n’a pas été piraté ».

5CA ne parle que d’articles de presse « désignant 5CA comme la cause d’une fuite de données », sans jamais mentionner Discord. La plateforme, de son côté, mentionne toujours 5CA. Cette dernière affirme enfin que ses « systèmes de contrôle d’accès, de chiffrement et de surveillance sont parfaitement opérationnels et, par mesure de précaution, font l’objet d’un examen intensif ».

Selon les résultats de son enquête préliminaire, les premières informations « suggèrent que l’incident pourrait avoir résulté d’une erreur humaine »… sans préciser de qui, ni dans quelle société, il travaille.

Mise à jour du 10 octobre à 11h53. Après l’annonce par Discord d’une fuite de données chez un de ses prestataires, de nouvelles informations ont été mises en ligne. Les pirates revendiqueraient 1,5 To de données avec pas moins de 2,1 millions de documents officiels.

Discord s’est exprimée sur le sujet, affirmant à The Verge que « les chiffres partagés sont incorrects et font partie d’une tentative de rançon contre Discord ». La plateforme annonce au passage qu’elle ne paiera pas. Le même chiffre se retrouve dans le billet de blog initial qui a été mis à jour. Discord en profite pour donner le nom de son partenaire : 5CA.

Article original du 4 octobre à 16h54. Vous connaissez certainement la chanson qui commence par « la protection de la confidentialité et de la sécurité de nos utilisateurs est une priorité absolue », puis enchaine sur une fuite de vos données personnelles et/ou bancaires. C’est aujourd’hui au tour de Discord de nous jouer cette partition.

You’ve got a mail… « Important information regarding your personal data »

« Nous avons récemment découvert un incident durant lequel une personne non autorisée a compromis l'un des partenaires. Cette personne a ensuite eu accès à des informations d'un nombre limité d'utilisateurs ayant contacté Discord via notre service client ou les Trust & Safety agents », explique la plateforme dans un billet de blog. Le nombre de clients affecté n’est par contre pas précisé. L’éditeur revendique « plus de 200 millions d’utilisateurs actifs mensuels dans le monde », dont « plus de 90 % jouent à des jeux ».

Dès que le pot aux roses a été découvert, l’accès du tiers a évidemment été révoqué, colmatant ainsi la brèche. Une enquête interne a été lancée, avec l’aide d’experts externes et des forces de l'ordre, affirme Discord.

Les personnes affectées par cette fuite sont contactées par email. C’est le cas d’un lecteur qui nous a fait suivre l’email Discord intitulé « Important information regarding your personal data ». Il reprend le billet de blog, mais avec des détails supplémentaires comme un « numéro de ticket » associé à ce compte :

Noms, pseudos, IP, messages au service client, derniers chiffres de CB…

De quoi parle-t-on exactement ? Dans le lot, il y a des noms, des adresses IP des pseudos Discord, des email et d’autres informations de contact qui auraient pu être partagés avec le service client de Discord, ainsi que des messages échangés avec le service client.

Des informations de facturation bancaires « limitées » comme le mode de paiement, les quatre derniers chiffres de votre carte bancaire et l'historique des achats si ces informations sont rattachées à votre compte. Enfin, « certaines données de l'entreprise (supports de formation, présentations internes) » ont aussi pu être exfiltrées.

Mais aussi des documents d’identités officiels

C’est déjà pas mal, mais ce n’est pas encore terminé. Des documents officiels ont pu être récupérés par le ou les pirates : « un petit nombre de documents d'identité officiels (par exemple, permis de conduire, passeport) d'utilisateurs ayant fait appel d'une décision de détermination de l'âge. Si votre pièce d'identité a pu être consultée, cela sera précisé dans l’email que vous recevrez ».

Discord précise enfin que les numéros de carte bancaire complets ainsi que les codes CCV n’ont pas été consultés. Pas plus que les messages envoyés à un autre destinataire que le service client, pas plus que les mots de passe ou les données d'authentification.

Dans l’email envoyé aux clients dont Next a reçu une copie, Discord précise que l’incident s’est déroulé le 20 septembre. Comme toujours, la prudence est désormais de mise face à des tentatives de phishing. Des pirates peuvent tenter de se faire passer pour Discord avec les données dérobées pour essayer d’en récupérer toujours plus.