Discord, très utilisée dans le secteur du jeu vidéo, est victime d'une cyberattaque passée par un bot tiers installé sur plusieurs centaines de milliers de serveurs. Le bot en cause, Double Counter, sert à la sécurité et à la vérification des échanges au sein des communautés. Son installation nécessite une manipulation manuelle de la part des administrateurs, mais l'outil s'est imposé dans plus de 600 000 serveurs.

L'ampleur du piratage est considérable : près de 28 millions d'utilisateurs seraient concernés de manière indirecte, Discord assurant de son côté que ses propres infrastructures n'ont pas été touchées. Les pirates revendiquent 12 Go de données dérobées, comprenant identifiants Discord, noms d'utilisateurs, adresses IP, données de géolocalisation, logs d'utilisation de VPN, caractéristiques du navigateur et adresses mail, dont environ un million d'adresses figureraient dans le lot. L'affaire a été révélée le mardi 6 octobre 2026 par le site spécialisé French Breaches.

Une faille héritée d'un piratage Metabase de l'été

Selon French Breaches, l'origine du piratage remonterait à un ancien serveur hébergeant une instance Metabase, elle-même compromise durant l'été 2026. Ce même incident Metabase avait déjà servi de porte d'entrée pour une cyberattaque contre l'Anssi, l'agence française chargée des questions cyber.

À partir de cette brèche initiale, le bot Double Counter a lui-même été temporairement détourné. L'attaquant en a profité pour publier des invitations sur une cinquantaine de grands serveurs utilisant l'outil, incitant leurs membres à rejoindre son propre canal.

L'épisode a aussi un volet financier : Double Counter aurait subi des transactions frauduleuses évaluées à 7 000 dollars, via une carte bancaire enregistrée sur ses comptes. L'incident a par ailleurs été déclaré à la Cnil.

Discord a réagi sur X. « Nous sommes au courant d'un incident de sécurité impliquant Double Counter, un développeur de bots tiers. Nous pouvons confirmer que les infrastructures de Discord n'ont pas été touchées », a écrit la plateforme. Elle précise bloquer toute nouvelle installation du bot le temps de l'enquête, empêcher ainsi les nouvelles installations de ce bot sur les serveurs pendant qu'elle enquête sur l'incident et travaille en étroite collaboration avec Double Counter, et assure qu'elle prendra des mesures supplémentaires appropriées pour protéger ses utilisateurs. Discord indique aussi pouvoir, si nécessaire, supprimer un bot à distance de ses serveurs.

Cet épisode n'est pas isolé. En octobre 2025, une cyberattaque avait déjà exposé les données de plusieurs dizaines de milliers de comptes Discord. La plateforme avait alors confirmé le piratage tout en jugeant exagérés les chiffres circulant à l'époque. La faille provenait cette fois d'un prestataire dédié au service clients de Discord.