par Double Counter, ça ne vous dit sans doute rien. C’est pourtant l’un de ces petits services tiers qui tournent en silence sur des milliers de serveurs Discord, chargé de repérer les gens qui reviennent sous un faux pseudo après un bannissement. Un outil anti-multicomptes, en somme, le genre de bot qu’un administrateur installe et oublie aussitôt. Sauf que le 4 octobre, ce gardien discret s’est transformé en passoire.
Les attaquants ne sont pas passés par la grande porte. Ils ont trouvé, sur un vieux serveur laissé à l’abandon, une installation de Metabase (un logiciel d’analyse de données) accessible publiquement sur internet. De là, ils ont récupéré des identifiants, puis sont remontés tranquillement jusqu’à l’infrastructure cloud du service. Une intrusion en plusieurs étapes, méthodique, qui a duré quelques heures avant d’être repérée. Le 7 octobre, Double Counter publiait son mea culpa.
Le bilan est lourd. Près de 28 millions de comptes Discord figurent dans les données aspirées : identifiants internes et noms d’utilisateur, d’abord. Mais aussi, pour 27 millions d’entre eux, l’adresse IP et une géolocalisation assez précise, avec le pays, la région, la ville, le code postal et le fournisseur d’accès. Ajoutez à ça 25 millions d’empreintes de navigateur et environ un million d’adresses mail, et vous obtenez une cartographie plutôt intime de qui se connecte, d’où, et avec quoi.
Puisqu’on parle de comptes qui fuitent, une clé de sécurité physique reste le moyen le plus simple de verrouiller vos connexions, même si votre mot de passe traîne dans la nature :
Yubico YubiKey 5 NFC → voir sur Amazon
Lien affilié Amazon. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
Bonne nouvelle quand même, si on peut dire : aucun mot de passe Discord ne circule, le service jure ne jamais les avoir collectés, et les numéros de carte stockés n’étaient pas dans la base exposée. La casse financière se limite à 7 316 dollars de débits frauduleux, depuis remboursés aux clients concernés. Les pirates se sont surtout servis du jeton du bot pour balancer des invitations vers leur propre serveur dans une cinquantaine de grosses communautés.
Reste le vrai sujet. Discord lui-même n’a rien à se reprocher ici, puisque c’est un prestataire extérieur qui a été percé. Mais c’est justement ça qui dérange : vous faites confiance à une plateforme, et vos données partent en réalité se promener dans les serveurs d’un sous-traitant dont vous ignoriez jusqu’à l’existence. Un serveur oublié, une mauvaise config, et voilà 28 millions de personnes exposées. En matière de vie privée en ligne, le maillon faible n’est presque jamais celui qu’on surveille.
Crédit photo : Discord
