Résumé exécutif
Discord a récemment été victime d’une violation de données affectant les informations personnelles de certains utilisateurs ayant interagi avec ses équipes de support client. L’incident résulte d’une compromission d’un prestataire de services tiers gérant le système de ticketing du support client. Cette violation n’a pas affecté les systèmes principaux de Discord.
Nature de l’incident
L’accès non autorisé s’est produit via un fournisseur tiers compromis, et l’attaquant aurait tenté d’extorquer une rançon financière à l’entreprise. Dès la détection de l’incident, Discord a immédiatement révoqué l’accès du prestataire compromis pour prévenir toute activité malveillante supplémentaire.
Données compromises
Les informations exposées concernent exclusivement les utilisateurs ayant contacté le Support Client ou les équipes Trust & Safety de Discord. Les données compromises comprennent :
Informations personnelles
- Noms complets
- Noms d’utilisateur Discord
- Adresses électroniques
- Coordonnées de contact fournies lors des interactions avec le support
Données financières limitées
- Type de paiement utilisé
- Historique des achats
- Quatre derniers chiffres des numéros de carte bancaire
Données techniques et communications
- Adresses IP des utilisateurs
- Contenu des messages échangés avec les agents du service client
- Documents d’identité gouvernementaux (permis de conduire, passeports) pour un nombre restreint d’utilisateurs ayant effectué une vérification d’âge
Données non compromises
Discord a expressément confirmé que les éléments suivants n’ont pas été affectés par cette violation :
- Numéros de carte bancaire complets
- Codes CCV
- Messages privés sur la plateforme
- Mots de passe des comptes
Mesures correctives mises en œuvre
Discord a déployé une réponse immédiate et structurée :
- Réponse technique immédiate : Révocation instantanée de l’accès du fournisseur compromis
- Investigation forensique : Engagement d’un cabinet spécialisé en criminalistique informatique
- Collaboration avec les autorités : Coopération active avec les forces de l’ordre
- Notification réglementaire : Information des autorités de protection des données concernées
- Audit de sécurité : Révision approfondie des contrôles de sécurité appliqués aux prestataires tiers
Communication avec les utilisateurs affectés
Discord contacte directement tous les utilisateurs impactés par courrier électronique depuis l’adresse officielle [email protected].
Avertissement de sécurité important
L’entreprise a émis les recommandations suivantes :
- Discord ne contactera jamais les utilisateurs par téléphone concernant cet incident
- Les utilisateurs doivent faire preuve de vigilance face aux tentatives de phishingHameçonnage par emails frauduleux imitant un service officiel. Email se faisant passer pour votre banque. PhishTank exploitant cette violation
- Toute communication suspecte doit être scrutée avec attention
Recommandations aux utilisateurs
Les utilisateurs potentiellement affectés sont invités à :
- Surveiller attentivement leur boîte de réception pour toute notification officielle de Discord
- Vérifier l’authenticité de tout courrier électronique prétendant provenir de Discord
- Rester vigilants face aux communications inhabituelles ou suspectes
- Ne jamais communiquer d’informations sensibles en réponse à des sollicitations non sollicitées
Engagement de Discord
L’entreprise a réaffirmé son engagement envers la confidentialité des utilisateurs et met en œuvre des mesures supplémentaires pour auditer ses systèmes tiers afin de garantir qu’ils répondent aux normes de sécurité requises et prévenir des incidents similaires à l’avenir.