La faille de Discord expose 70 000 identifiants gouvernementaux : ce qui s'est passé et qui a été affecté

Discord a révélé l'étendue potentielle de sa récente faille de sécurité. La société a déclaré dans un communiqué de presse actualisé que 70 000 membres de sa plateforme pourraient avoir vu leur carte d'identité gouvernementale compromise.

Cette violation de données intervient alors que Discord rejoint un nombre croissant d'entreprises technologiques qui demandent à leurs clients de prouver qu'ils ont l'âge minimum requis en fournissant leur permis de conduire ou leur carte d'identité. Discord a mis en place un système qui implique que les utilisateurs fournissent leurs selfies lorsqu'ils sont signalés comme mineurs sur la plateforme.

Selon Discord, la violation s'est produite par l'intermédiaire d'un service tiers non nommé qu'il utilise pour soutenir son service clientèle. Seuls les utilisateurs ayant communiqué avec le service clientèle ou l'équipe Trust & Safety sont concernés. Discord a également déclaré que seules les données des clients partagées avec ces équipes étaient menacées.

La déclaration se lit en partie comme suit : "Récemment, nous avons découvert un incident au cours duquel une partie non autorisée a compromis l'un des fournisseurs tiers de services à la clientèle de Discord. La partie non autorisée a ensuite eu accès aux informations d'un nombre limité d'utilisateurs qui avaient contacté Discord par l'intermédiaire de notre support client et/ou de nos équipes de confiance et de sécurité."

Discord a désactivé l'accès du fournisseur à son système de billetterie tout en continuant à enquêter sur l'incident en collaboration avec les forces de l'ordre.

Le communiqué officiel indique que les données suivantes ont pu être compromises :

• Nom, nom d'utilisateur Discord, adresse électronique et autres coordonnées
• Informations de facturation limitées, telles que le type de paiement, les quatre derniers chiffres de votre carte de crédit et l'historique des achats
• Adresses IP
• Messages avec l'agent du service clientèle
• Données limitées de l'entreprise (matériel de formation, présentations internes)
• Un petit nombre d'images d'identification gouvernementales

Discord contacte les utilisateurs concernés qui recevront un courriel de noreply @ discord.com. L'entreprise prévient qu'aucun contact téléphonique ne sera établi afin de protéger les victimes qui ne se doutent de rien.

Alors que de plus en plus d'entreprises tentent de se conformer aux exigences légales locales en demandant des identifiants pour accéder à leurs services, de nombreux utilisateurs se demandent ce qu'ils peuvent faire pour se protéger contre de telles violations. Certains ont opté pour des VPN afin de masquer leur emplacement physique, mais un certain nombre de sites web populaires restreignent déjà les adresses IP associées aux VPN.