Le premier, mais pas le dernier ? Fuite d'identifiants chez Discord

Nous n'avons jamais été particulièrement enthousiastes à l'égard de la vague croissante de lois sur la vérification de l'âge qui voient le jour à travers le monde, notamment aux États-Unis et au Royaume-Uni. Dans ces pays, la loi sur la sécurité en ligne oblige désormais les plateformes à vérifier l'âge de leurs utilisateurs, avec des sanctions assez sévères en cas de non-respect.

Notre problème, et celui de nombreux autres experts en matière de confidentialité et de sécurité, avec ces contrôles de vérification de l'âge (et les plateformes qui les mettent en place) est simple : ils obligent les utilisateurs à divulguer encore plus d'informations personnelles hautement sensibles. Il s'agit notamment d'images d'identité telles que les permis de conduire ou les passeports. Et lorsque les plateformes qui stockent ce type de données sensibles sont piratées, en particulier si elles hébergent du contenu pour adultes, les conséquences peuvent être tout simplement désastreuses.

La loi britannique sur la sécurité en ligne, qui impose des contrôles d'âge « rigoureux » pour les plateformes en ligne, est entrée en vigueur le 25 juillet dernier. Anticipant la date limite, Discord a commencé à déployer son système de vérification de l'âge dès avril 2025. Ce déploiement a commencé par un test limité qui comprenait la numérisation du visage pour estimer l'âge des utilisateurs. Lorsque la loi est entrée en vigueur, la politique s'est rapidement étendue à tous les utilisateurs basés au Royaume-Uni.

Une bombe à retardement

Et, comme vous l'avez sans doute deviné, c'était une bombe à retardement. La semaine dernière, Discord a confirmé qu'une grande quantité de données personnelles d'utilisateurs gérées par son prestataire de services client tiers avait été piratée. Selon Discord, les pirates ont eu accès à « un petit nombre d'images de pièces d'identité officielles (par exemple, permis de conduire, passeport) d'utilisateurs qui avaient fait appel d'une décision relative à leur âge ».

Parmi les autres données tombées entre les mains des pirates, on trouve :

• Noms, noms d'utilisateur Discord, adresses e-mail et autres coordonnées (si fournies au service clientèle)
• Informations de facturation limitées, telles que le type de mode de paiement, les quatre derniers chiffres des cartes de crédit et l'historique des achats (si liés à votre compte)
• Adresses IP
• Messages échangés avec l'équipe du service clientèle de Discord
• Certains documents internes de l'entreprise (supports de formation, présentations internes)

Discord a déclaré que ces données avaient été exposées lors de l'attaque du 20 septembre, précisant que les pirates avaient exigé une rançon à Discord pour ne pas divulguer les données. Selon BleepingComputer, le fournisseur de support tiers en question était Zendesk, une plateforme de service client populaire utilisée par de nombreuses grandes entreprises.

À la suite de cette attaque, Discord a déclaré avoir révoqué l'accès du fournisseur d'assistance au système de tickets, fait appel à des experts en informatique légale et lancé une enquête interne.

On ignore combien d'utilisateurs ont été touchés par cet incident, mais Discord compte environ 250 millions d'utilisateurs actifs par mois. Parallèlement, les contrôles de vérification de l'âge ne s'appliquent pleinement qu'aux utilisateurs basés au Royaume-Uni, où ils sont obligatoires. Discord a testé ce qu'il appelle « l'assurance d'âge » dans d'autres régions, comme l'Australie, selon certaines informations. Cela signifie que, même si cette pratique est encore limitée pour l'instant, la vérification de l'âge est en passe de se généraliser, et c'est précisément pour cette raison que nous voulons nous y intéresser de près.

Suivez les règles pour voir votre ID divulgué

Normalement, pour créer un compte sur une plateforme en ligne, vous ne fournissez pas votre pièce d'identité officielle. Comment les photos des piéces d'identité ont-elles donc fini entre les mains du fournisseur tiers de Discord, puis entre celles de pirates informatiques ?

La faute en revient au nouveau système de vérification de l'âge mis en place par Discord. Selon les directives de Discord, il n'y a que deux façons de prouver votre « tranche d'âge » : soit en scannant votre visage, soit en téléchargeant une copie scannée de votre pièce d'identité. Confrontés à un choix cornélien, la plupart des utilisateurs préfèrent prendre un selfie plutôt que de fournir leur pièce d'identité officielle. Certains font preuve d'encore plus de créativité, comme essayer de contourner les vérifications de Discord avec des captures d'écran du mode photo du jeu Death Stranding. Mais si vous essayez de respecter les règles, vous finirez par soumettre soit votre visage, soit votre pièce d'identité.

Et c'est justement ces utilisateurs respectueux de la loi, ceux qui ont fait ce qu'on leur a demandé, qui se sont retrouvés dans le collimateur de la dernière violation. Discord affirme que le système a été conçu dans le respect de la vie privée et qu'aucun document d'identité ni selfie vidéo n'est stocké de manière permanente :

« Discord et k-ID (le fournisseur de services de vérification de Discord) ne stockent pas de manière permanente les documents d'identité personnels ni vos selfies vidéo. L'image de votre pièce d'identité et le selfie de correspondance faciale sont supprimés immédiatement après confirmation de votre tranche d'âge, et le selfie vidéo utilisé pour l'estimation de l'âge du visage ne quitte jamais votre appareil. »

Nous devons les croire sur parole : les données sont supprimées immédiatement après utilisation. Mais il y a un hic : si le système ne parvient pas à vérifier votre âge (ce qui, soyons réalistes, n'est pas si rare — la technologie d'estimation de l'âge n'est pas infaillible), les utilisateurs sont invités à contacter l'équipe Trust and Safety de Discord. C'est alors qu'on leur demande de soumettre à nouveau leur pièce d'identité ou un selfie. Et au final ces photos et pièces d'identité ont été divulguées.

Le prix réel de la conformité

Unfortunately for Discord — and for every other platform being pushed to roll out similar systems — this is just the beginning. The more personal data platforms are forced to collect just so users can log in, the more opportunities there will be for leaks, breaches, and exploitation. The attack surface keeps growing.
Malheureusement pour Discord, et pour toutes les autres plateformes contraintes de déployer des systèmes similaires, ce n'est que le début. Plus il y a de données personnelles que les plateformes sont obligées de collecter pour permettre aux utilisateurs de se connecter, plus les risques de fuites, de violations et d'exploitation sont élevés. La surface d'attaque ne cesse de s'étendre.

La règle principale (comme toujours) est la suivante : réduisez au minimum la quantité de données personnelles que vous communiquez en ligne. Qu'il s'agisse d'un site web, d'une application ou d'une plateforme, moins vous leur en donnez, moins il y a de risques de fuites.

Dans ce cas, utiliser une solution de contournement, comme se connecter à un serveur VPN dans un pays où les lois sur la vérification de l'âge ne sont pas (encore) obligatoires semble une bonne idée. Mais personne ne sait combien de temps cette astuce fonctionnera.

Il reste à espérer que des incidents comme celui-ci serviront de signal d'alarme. Espérons aussi que les grandes entreprises technologiques et autres plateformes commenceront à riposter au lieu de se plier et de se conformer. Car à l'heure actuelle, le prix de la conformité commence à sembler dangereusement élevé.