Un bot chargé de filtrer les comptes suspects a servi à diffuser des invitations frauduleuses. C’est le problème central de la compromission de Double Counter, survenue le 4 octobre 2026 : au-delà des données exposées, l’attaquant a récupéré la confiance que les communautés Discord accordaient à leur outil de sécurité. L’infrastructure touchée est celle de Tellter, son éditeur, et non celle de Discord. Pour les administrateurs, cette distinction technique ne dispense pas de nettoyer les messages et de contrôler les permissions.
Double Counter détecte les comptes alternatifs et certains usages de VPN, et aide à bloquer les raids coordonnés. Ce rôle lui donne une place particulière : ses messages de vérification font partie du fonctionnement normal d’un serveur. En dérobant son jeton Discord, l’attaquant pouvait publier sous l’identité du bot, sans avoir à convaincre les membres de faire confiance à un nouvel interlocuteur.
C’est une attaque par détournement de confiance. Une invitation peut sembler ordinaire tout en conduisant vers un serveur contrôlé par l’attaquant. La présence du bon nom et du bon avatar ne garantit plus sa légitimité. Les invitations inattendues invoquant une vérification, une alerte de compte ou l’incident lui-même doivent donc être traitées comme suspectes.
Tellter demande de supprimer les invitations vers d’autres serveurs envoyées par Double Counter entre 12 h et 16 h 30 UTC le 4 octobre. En France métropolitaine, cela correspond à 14 h-18 h 30. Cette fenêtre sert au nettoyage ; elle ne signifie pas que toute l’intrusion s’est limitée à ces quatre heures et demie.
L’exposition annoncée comprend environ 28 millions d’identifiants Discord et de noms d’utilisateur, dont les données ont été partiellement copiées, ainsi qu’un million d’adresses e-mail uniques. Quelque 27 millions d’enregistrements d’adresses IP et de localisation approximative sont également traités comme exposés. Tellter ne peut toutefois pas déterminer précisément lesquels ont effectivement été extraits.
Ces volumes ne s’additionnent pas. Une même personne peut apparaître dans plusieurs catégories, et un enregistrement réseau n’équivaut pas nécessairement à une victime supplémentaire. Environ 12 Go de données ont été copiés. Le sous-ensemble indexé par Have I Been Pwned contient près de 275 000 adresses e-mail : une absence dans cette base ne constitue donc pas un certificat d’absence d’exposition.
Selon Tellter, les mots de passe Discord et les coordonnées de carte bancaire n’ont pas été exposés. Cela réduit certains risques, mais pas celui de l’hameçonnage ciblé. Associer une adresse e-mail à un pseudonyme Discord et à des informations réseau suffit à rendre un faux message d’assistance beaucoup plus convaincant. Une localisation approximative n’est pas une adresse postale précise ; elle reste une information exploitable pour personnaliser une intimidation.
Le chemin d’accès décrit passe par une vulnérabilité d’un outil d’analyse installé sur un ancien serveur, inutilisé mais toujours actif. Cet accès a permis de récupérer des identifiants cloud. Le schéma porte un nom : la dette de sécurité. Un système sorti des usages quotidiens peut conserver un accès décisif aux données de production.
La question à poser à Tellter porte désormais sur la durée de conservation de ces données et sur leur nécessité. Détecter des comptes alternatifs peut justifier certains rapprochements techniques ; conserver un vaste historique crée aussi une cible. Le rétablissement du service ne répond pas, à lui seul, à cette question de conception.
Les administrateurs doivent rechercher les messages suspects dans les salons, annonces, éléments épinglés et archives de modération. Le journal d’audit sert à contrôler les changements de rôles, de permissions et les autres actions administratives inhabituelles ; il ne remplace pas l’examen des messages. Les membres doivent être informés qu’une publication du bot pendant la période compromise n’est pas une preuve d’authenticité.
Il faut également réexaminer les droits accordés à Double Counter et sa présence sur chaque serveur. Le retirer peut interrompre les vérifications existantes : mieux vaut préparer une solution de remplacement plutôt que laisser l’accès sans contrôle. Aucun membre ne doit transmettre un mot de passe, un jeton Discord ou un code à usage unique pour répondre à une invitation liée à cet incident.
À surveiller : le bilan technique final de Tellter, les règles de conservation des données et la décision de Discord concernant les nouvelles installations, désactivées pendant l’analyse. Pour les utilisateurs, activer l’authentification à deux facteurs sur Discord et leur messagerie reste une précaution utile. Pour les communautés, la leçon est plus structurelle : un bot de sécurité doit disposer de droits limités, pas d’une confiance illimitée.
Accédez à des stratégies exclusives, des astuces cachées et des analyses pro que nous ne partageons pas publiquement.
Guide stratégique ultime Actualité + Astuces pro hebdomadaires