Une carte d’identité volée
ne se change pas.
L’affaire a été racontée comme un bras de fer autour d’une rançon. C’est la partie la moins intéressante. Ce qui mérite l’attention d’un dirigeant tient en trois points : le maillon compromis n’était pas la plateforme, les deux parties se renvoient la responsabilité, et les documents dérobés ne peuvent pas être remplacés.
Une erreur à corriger d’abord
Le prestataire compromis a souvent été désigné à tort dans les reprises de l’affaire.
Discord a nommé publiquement un tout autre partenaire, une société de service client. L’outil de gestion des demandes était le support de l’attaque, il n’en était pas l’origine : c’est un compte d’agent qui a été compromis, pas le logiciel.
Deux versions qui s’opposent
Le cas est intéressant parce que les trois parties donnent trois récits différents, et qu’aucun n’a été tranché publiquement à ce jour.
Comme dans les autres affaires du même collectif, le chiffre avancé par les attaquants fait partie de l’attaque : plus il est élevé, plus la pression exercée sur la victime est forte. Le reprendre sans réserve revient à relayer un outil d’extorsion.
La chronologie des faits
L’intrusion
Un compte d’agent, au sein d’un prestataire de service client, est compromis. Les attaquants revendiquent un accès de cinquante-huit heures au système de gestion des demandes d’assistance.
Discord reconnaît l’incident
Elle indique qu’un prestataire a été compromis, que ses propres systèmes n’ont pas été pénétrés, et que seules les personnes ayant contacté l’assistance sont concernées.
Le prestataire est nommé, la rançon refusée
Discord désigne publiquement son partenaire et qualifie les chiffres avancés par les attaquants de manœuvre d’extorsion. Elle annonce qu’elle ne paiera pas.
Le prestataire dément
Il conteste avoir traité des pièces d’identité pour ce client et nie une intrusion dans ses systèmes, tout en admettant que l’incident pourrait relever d’une erreur humaine.
Le collectif se rétracte puis se dissout
Après l’arrestation de plusieurs administrateurs, le collectif annonce cesser ses activités. Les campagnes reprendront sous la même enseigne en 2026.
Pourquoi les pièces d’identité changent tout
C’est le point qui distingue cette fuite de la plupart des autres, et il mérite d’être compris précisément.
Un mot de passe compromis se remplace en trente secondes. Un numéro de carte bancaire se fait opposer en un appel. Une carte d’identité ou un passeport, non : le document reste valide pendant des années, et il sert à ouvrir des comptes, à souscrire des engagements ou à passer des vérifications au nom de la personne.
Ces documents avaient été transmis dans le cadre de vérifications d’âge. Discord indique qu’ils sont supposés être supprimés immédiatement après contrôle, sauf en cas de recours. Toute la question est là : ce qui n’est pas conservé ne peut pas fuir.
Refuser de payer devient la norme
Le refus a été présenté comme une décision audacieuse. Il l’était moins qu’il n’y paraît : la part des victimes qui acceptent de payer est tombée aux environs d’un quart, au plus bas depuis trois ans.
Le calcul est simple. Payer ne garantit ni la suppression des données, ni l’absence de revente ultérieure, ni l’absence d’une seconde demande. Et le paiement désigne l’entreprise comme une cible rentable pour la suite.
Ce que le refus suppose, en revanche, c’est d’être capable d’assumer la publication. Autrement dit, d’avoir prévenu les personnes concernées, notifié l’autorité compétente, et préparé sa communication avant que les données ne circulent.
Ce qu’une entreprise doit en tirer
Trois enseignements, transposables à une structure de n’importe quelle taille.
Le premier porte sur la conservation. Si votre activité vous conduit à demander une pièce d’identité — location, inscription, vérification — la question à trancher est celle de sa suppression après usage, et de sa preuve. Une pièce effacée est une pièce qui ne peut pas fuir.
Le deuxième porte sur les prestataires. L’affaire montre deux entreprises qui se renvoient la responsabilité en public. Ce qui évite cela s’écrit avant : périmètre d’accès, obligations de sécurité, délai de notification, répartition des responsabilités. C’est le sujet traité dans notre page sur l’hébergement web et la maintenance.
Le troisième porte sur les accès. Un compte d’agent suffit à ouvrir une base entière. La double authentification sur tous les accès distants et la revue régulière des comptes actifs restent les deux mesures les plus rentables, développées dans sauvegarde et sécurité.
Ce qu’on nous demande le plus souvent.
Quel prestataire a été compromis ?
Discord a désigné publiquement son prestataire de service client, 5CA. Celui-ci a démenti le 14 octobre 2025 avoir traité des pièces d’identité pour son client et avoir subi une intrusion dans ses systèmes, tout en admettant que l’incident pourrait résulter d’une erreur humaine. Les deux versions s’opposent.
Combien de personnes sont réellement concernées ?
Les chiffres divergent fortement. Discord évoque environ 70 000 utilisateurs dont les photos de pièces d’identité ont pu être exposées. Les attaquants revendiquent 5,5 millions de comptes, 2,1 millions de photos et de l’ordre d’un téraoctet et demi de données. Ces derniers chiffres n’ont pas été vérifiés indépendamment.
Pourquoi une pièce d’identité volée est-elle plus grave qu’un mot de passe ?
Parce qu’elle ne se change pas. Un mot de passe compromis se remplace en trente secondes. Une carte d’identité ou un passeport reste valide plusieurs années et sert à ouvrir des comptes, souscrire des crédits ou passer des vérifications au nom de la personne.
Discord a-t-elle payé ?
Non. Elle a refusé publiquement, en indiquant ne pas vouloir récompenser des actes illégaux. Elle a révoqué les accès du prestataire, mandaté un cabinet spécialisé, saisi les autorités et notifié individuellement les personnes concernées.
Refuser de payer est-il devenu la norme ?
Cela le devient. La part des victimes de rançongiciel qui acceptent de payer est tombée aux environs d’un quart, au plus bas depuis trois ans. La conséquence est que les groupes misent davantage sur la menace de publication que sur le chiffrement des fichiers.
Qu’est-ce que cela change pour une entreprise française ?
Deux choses. Si vous demandez une pièce d’identité à vos clients, la question de sa suppression après usage devient centrale : ce qui n’est pas conservé ne peut pas fuir. Et si un prestataire accède à vos données, la répartition des responsabilités doit figurer dans le contrat, pas se découvrir après l’incident.
- Communiqué de Discord du 3 octobre 2025 et mise à jour désignant le prestataire concerné.
- Démenti public de 5CA, 14 octobre 2025.
- Presse spécialisée française et internationale, couverture de l’incident, des chiffres revendiqués et du refus de payer, octobre 2025.
- Relevés sectoriels 2025 sur la part des victimes de rançongiciel acceptant de payer.
- Couverture de la dissolution annoncée du collectif après plusieurs arrestations, fin 2025.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article rend compte de faits contestés entre plusieurs parties et présente chacune de leurs versions. Pour aller plus loin : la sauvegarde et la sécurité, l’hébergement web et la maintenance ou notre politique de confidentialité.
Conservez-vous des documents que vous pourriez effacer ?
Pièces d’identité, justificatifs, relevés : ce qui a servi et qui reste stocké devient un risque sans contrepartie.