Dans la fuite de Double Counter : ce qu’un robot de vérification Discord conservait, et comment il l’a perdu

Si vous vous êtes joint à un serveur Discord ces dernières années, il y a de bonnes chances qu’un robot appelé Double Counter vous ait d’abord demandé de cliquer sur un lien pour vous « vérifier ». Le 4 octobre 2026, un attaquant est entré dans les systèmes derrière ce robot et a copié environ 12 Go de données. Le premier billet sur cette fuite en a couvert l’essentiel quand la nouvelle est sortie. Voici le regard approfondi : ce que le robot recueillait, ce que sa politique de confidentialité promettait, comment l’attaquant est entré et comment l’entreprise a géré la suite.

En bref : un outil conçu pour bloquer les personnes bannies a bâti une base de données vaste et durable qui relie des comptes Discord à des adresses IP et à des emplacements proches du domicile, l’a laissée accessible d’une manière que sa propre politique disait impossible, et a mis 17 jours à commencer à écrire aux personnes touchées. L’entreprise mérite aussi du crédit sur certains points, et ce billet en parle aussi.

Ce qu’est Double Counter

Double Counter est exploité par Tellter SAS, une entreprise immatriculée à Paris. Les propriétaires de serveurs ajoutent le robot pour bloquer les « comptes secondaires » : les deuxièmes comptes qu’utilisent des membres bannis ou indésirables pour revenir. Quand vous rejoignez un serveur qui l’utilise, le robot vous envoie vers une page Web. Cette page enregistre votre adresse IP et des détails sur votre navigateur, puis les compare à ceux de toutes les personnes qui se sont vérifiées partout où Double Counter est utilisé. Si vous correspondez à un compte banni ailleurs, les modérateurs en sont informés.

Le robot dit être utilisé par plus de 600 000 communautés et 3,7 millions de personnes par mois. La plupart des gens dans sa base de données ne l’ont pas choisi eux-mêmes. Ils ont cliqué sur un lien parce qu’un serveur qu’ils voulaient rejoindre l’exigeait.

Ce qui s’est passé le 4 octobre

Tellter a publié un rapport d’incident (en anglais) détaillé le 5 octobre, puis une version 2.0 révisée le 21 octobre. Selon ce rapport (heures UTC) :

• L’entrée s’est faite par un serveur que Tellter n’utilisait plus. Une ancienne machine de son ancienne infrastructure chez OVH faisait encore tourner une copie autohébergée de Metabase, un outil d’analyse, accessible depuis Internet. Une faille dans cet outil a permis à l’attaquant de fabriquer une session d’administrateur. Les sondages ont commencé le 3 octobre et l’attaquant s’est connecté à 0 h 47 le 4 octobre.
• Ce serveur retiré contenait des clés actives vers la production. Il stockait une clé de compte de service infonuagique avec des droits d’administrateur et la session en ligne de commande enregistrée d’un administrateur. À partir de 12 h 03, l’attaquant s’en est servi pour entrer dans le nuage de Tellter.
• Il a pris le contrôle du robot. À 12 h 26, il a ouvert un terminal dans un conteneur du robot en marche et a lu le jeton Discord du robot. À partir de 13 h 30, il a utilisé le robot pour publier des invitations vers son propre serveur dans une cinquantaine de grands serveurs Discord, si bien que les messages semblaient venir de Double Counter. Quand l’équipe de Tellter a installé un nouveau jeton, l’attaquant l’a lu en moins de deux minutes.
• Il a copié les données. Entre 15 h 09 et 15 h 34, il a changé le mot de passe administrateur de la base de données, supprimé des sauvegardes et copié environ 12 Go de tables.
• Il a commis une fraude avec une clé de paiement volée. Une clé Stripe d’Atis, un autre produit de Tellter, était lisible dans le même nuage. Entre 17 h 03 et 17 h 13, l’attaquant a tenté 40 paiements de plus en plus élevés sur les cartes enregistrées de 11 clients d’Atis, dont une carte d’entreprise de Tellter. 23 sont passés, pour 7 331 $ US. Tellter dit que tout a été remboursé.
• La dernière action enregistrée de l’attaquant date de 17 h 54. Le robot est revenu à 19 h 19 avec de nouveaux identifiants.

Le rapport ne nomme pas la faille de Metabase et ne dit pas si un correctif existait. Dexerto (en anglais) la décrit comme une faille de sécurité connue. Tellter n’a pas dit qui est l’attaquant.

Ce qui a été pris

Tellter a déterminé ce qui est sorti en comparant les 12 Go à la taille de chaque table, puisque son outil de copie lit les tables dans un ordre fixe. Ses propres chiffres :

Les adresses IP se trouvaient dans deux tables. La première, environ 5,4 millions de lignes servant à détecter les comptes secondaires, a été copiée en entier. La seconde, environ 21,7 millions de lignes d’utilisateurs vérifiés, a été interrompue en cours de copie ; Tellter estime qu’environ 20 % est sorti, mais ne peut pas dire quelles lignes, alors il traite le tout comme exposé. C’est une façon prudente de compter, et c’est le bon choix.

Les mots de passe Discord n’étaient pas en cause, car Double Counter ne les reçoit jamais. Les numéros de carte complets et les codes de sécurité sont restés chez Stripe. Discord affirme que ses propres systèmes n’ont pas été touchés, et a bloqué les nouvelles installations du robot (en anglais) le temps d’enquêter.

Une partie des données est déjà publique. Have I Been Pwned (en anglais) a ajouté la fuite le 7 octobre après la publication d’un ensemble d’environ 275 000 adresses courriel uniques et noms d’utilisateur Discord, avec les noms, pays et codes postaux d’un petit nombre d’abonnés payants. On ne sait pas, selon des sources fiables, si les adresses IP et les emplacements ont aussi été publiés.

Ce que montrent les données publiées

Frame a analysé la partie des données qui a été publiée, en ne regardant que des totaux et jamais le dossier d’une personne. Rien d’un dossier individuel ne figure dans ce billet. Cette partie compte 298 861 enregistrements et 294 745 adresses courriel uniques, tirés de deux exportations :

• une exportation de clients Stripe de 24 400 lignes, avec 21 646 adresses courriel uniques
• une liste de contacts de marketing par courriel de 274 461 contacts

Cela concorde avec Have I Been Pwned, qui recense 274 922 adresses et une date de fuite du 4 octobre. Les enregistrements sont datés de mars à octobre 2026, et ils visent les clients de Doogle, le produit frère de Tellter, autant que ceux de Double Counter.

Les dossiers clients contiennent les adresses courriel, les noms d’utilisateur et identifiants Discord, les noms complets, le forfait et le niveau d’abonnement, et le statut du compte Stripe, dont 1 191 comptes marqués en défaut de paiement. Presque chaque client payant a une adresse de facturation complète : rue, ville, État ou province, code postal et pays. La grande majorité indiquent les États-Unis (23 127), suivis du Royaume-Uni (221), de l’Australie (113) et du Canada (95). Les métadonnées des clients contiennent aussi des données d’attribution marketing : les balises de campagne (UTM), le site référent et la page d’arrivée qui ont amené chaque client.

La partie publiée ne contient ni mots de passe, ni numéros de carte, ni champ d’adresse IP. C’est un certain soulagement, mais ce n’est pas toute la fuite. Le rapport de Tellter dit que des données d’IP ont été prises et qu’environ un million d’adresses courriel ont été copiées, à peu près quatre fois plus que ce qui a été publié jusqu’ici.

Un chiffre ne concorde pas. Tellter compte environ 5 000 dossiers de paiement de Doogle et d’Atis, mais l’exportation Stripe publiée compte à elle seule plus de 21 000 adresses courriel de clients uniques. L’écart pourrait venir d’anciens clients, de personnes qui n’ont jamais terminé leur paiement ou d’une autre façon de compter. Le rapport ne l’explique pas.

Ce que la politique promettait, et ce que la fuite montre

La politique de confidentialité de Double Counter a été réécrite le 15 octobre, onze jours après l’attaque. La version archivée en septembre 2026 (en anglais) est celle que les gens voyaient au moment de se vérifier. Mises à côté du rapport d’incident, plusieurs de ses promesses ne tiennent pas.

« Nous ne recueillons que les données personnelles minimales nécessaires (principalement votre adresse IP). » Le rapport de fuite énumère, à côté de chaque adresse IP, le pays, la région, la ville, le code postal et le fournisseur Internet. Un code postal et un fournisseur à côté d’un nom d’utilisateur, c’est bien plus près du domicile de quelqu’un que ne le laisse croire « une adresse IP ». La politique de septembre ne mentionnait aucune donnée de lieu ni de fournisseur. La politique actuelle (en anglais) le fait maintenant.

Les adresses IP sont « liées à votre identifiant Discord (pas à votre nom d’utilisateur) ». Le rapport compte les identifiants et les noms d’utilisateur Discord d’environ 28 millions de comptes, et la politique réécrite dit maintenant que les noms d’utilisateur sont enregistrés lors de la vérification et liés à l’identifiant.

Les détails du navigateur sont « mis en cache temporairement » et « supprimés automatiquement ». Le rapport mentionne environ 25 millions d’empreintes d’agent utilisateur copiées, ainsi qu’environ 15 millions d’entrées de détection de RPV contenant adresses IP et agents utilisateurs, qui n’ont pas été copiées. Ce n’est pas un cache temporaire.

« L’accès est limité aux processus autorisés du système. Aucun humain ne peut voir vos données privées stockées. » La session enregistrée d’un administrateur et une clé infonuagique de niveau administrateur se trouvaient sur un serveur que personne n’utilisait. La base de données touchée était accessible depuis Internet jusqu’à ce que Tellter la ferme à 15 h 24 le jour de l’attaque, et sa base de cache tournait chez un hébergeur tiers exposé à Internet jusqu’à son déplacement plus tard ce jour-là. La nouvelle politique promet des bases de données « accessibles uniquement par des réseaux privés ». C’est une bonne règle. Ce n’était pas le cas le 4 octobre.

« Toutes les données personnelles traitées par Double Counter sont […] chiffrées avec AES-128 CBC. » Le rapport ne dit pas si les adresses IP copiées étaient chiffrées, ni si les clés pour les lire étaient à la portée de l’attaquant. Il les traite comme exposées, et vous devriez faire de même. Les courriels et noms d’utilisateur publiés étaient lisibles en clair.

Conservé plus longtemps, et utilisé à plus de fins, que la vérification ne l’exige

Pour repérer un compte secondaire, un robot doit comparer une nouvelle vérification aux précédentes. Cela n’exige pas forcément de garder pendant des années des adresses IP lisibles, des codes postaux et des noms d’utilisateur. Double Counter stocke déjà les agents utilisateurs sous forme d’empreintes à sens unique ; les adresses IP pourraient être comparées de la même façon, et la détection de RPV ou de fournisseur peut se faire au moment de la vérification sans garder le résultat à côté d’un nom.

Au lieu de cela, la politique de septembre conservait les adresses IP 24 mois après votre dernière vérification, si bien que chaque nouvelle vérification relançait le compteur. La nouvelle politique ajoute jusqu’à 36 mois pour les comptes signalés par le système. La version 1.9 du rapport d’incident mentionnait aussi une base distincte « d’archivage » contenant des données d’utilisateurs et des adresses IP pour environ 58 millions d’utilisateurs, utilisée par « certains de nos autres processus ». Elle n’a pas été touchée. La version 2.0 ne la mentionne plus, et aucune des deux politiques n’explique à quoi elle sert ni comment son contenu respecte la limite de conservation.

Les données ont aussi servi à autre chose. Dès septembre 2024, Tellter a vendu des abonnements à Doogle (en anglais), un site de recherche où un abonné payant pouvait entrer n’importe quel identifiant Discord et obtenir les comptes que le système croyait appartenir à la même personne, avec un indice de confiance. Sa documentation décrit un réseau de plus de 40 millions d’identifiants uniques bâti à partir des vérifications de Double Counter. Doogle n’affichait jamais d’adresses IP, mais il transformait des données de vérification en service de recherche payant, et l’exclusion était à faire soi-même : vous y figuriez à moins de trouver la commande /privacy et de vous y opposer. La possibilité de cacher votre compte des recherches inversées n’est arrivée qu’en septembre 2025. Environ 840 000 des adresses courriel divulguées venaient de comptes Doogle. Tellter a fermé Doogle (en anglais) le 10 octobre, six jours après la fuite.

Les données publiées vont dans le même sens. Les dossiers de paiement gardaient une adresse civique complète à côté d’un identifiant Discord, ce qui relie à un domicile un compte que la plupart des gens traitent comme un pseudonyme. L’attribution marketing, c’est-à-dire la façon dont chaque client a découvert le produit, était stockée dans les métadonnées clients du système de paiement, à côté des renseignements de facturation. Et Tellter détenait des centaines de milliers de contacts de marketing par courriel, bien plus que ce qu’exige un robot de vérification; la vérification elle-même n’a jamais demandé de courriel. Aucun de ces choix n’est rare pour une entreprise en ligne, mais ensemble, ils réunissaient au même endroit plus de renseignements sur chaque personne que le service n’en avait besoin.

La page de vérification affichait aussi des publicités. La politique de septembre indiquait recourir à Ezoic pour de la publicité ciblée, avec des témoins tiers pouvant recueillir votre adresse IP, votre appareil et votre navigateur. La politique actuelle mentionne Google AdSense sur la même page. Les personnes obligées de se vérifier pour rejoindre une communauté transmettaient donc aussi ces renseignements à des régies publicitaires.

Comment Tellter a réagi

Une partie de la réponse était bonne, et il est juste de le dire :

• Tellter a coupé l’accès de l’attaquant et rétabli le robot le jour même, et a vérifié 14 projets infonuagiques pour s’assurer que rien n’avait été laissé derrière.
• L’entreprise a publié une chronologie publique détaillée dès le lendemain, ce que bien des entreprises plus grandes ne font pas.
• Elle a avisé l’autorité française de protection des données, la CNIL, le 5 octobre, à l’intérieur des 72 heures que prévoit le RGPD.
• Elle a compté de façon prudente, en traitant des tables entières comme exposées quand elle ne pouvait pas savoir quelles lignes étaient sorties.
• Elle s’est excusée, a renouvelé ses secrets, a placé le jeton du robot dans un coffre à secrets, a fermé la base de données à Internet, a déposé une plainte pénale à Paris le 21 octobre et a demandé le retrait des copies publiées.

D’autres aspects ont laissé à désirer.

Le premier rapport a minimisé ce qui s’était passé, pendant 16 jours. La version 1.9 (en anglais), publiée le 5 octobre, parlait de 7 316 $ US de paiements, affirmait que « seulement trois cartes ont été débitées au total » et qu’« aucun autre client n’a été touché ». Elle disait aux clients d’Atis qu’« aucune action n’est nécessaire ». La version 2.0 du 21 octobre a corrigé le tout à 40 paiements sur les cartes de 11 clients, et a révélé pour la première fois que les dossiers de facturation d’environ 5 000 clients de Doogle et d’Atis avaient été copiés et en partie publiés. Have I Been Pwned avait déjà relevé, le 7 octobre, des noms, pays et codes postaux d’abonnés dans les données publiées.

Les gens ont reçu un courriel 17 jours plus tard. Tellter dit avoir commencé le 21 octobre à écrire à toutes les personnes dont l’adresse figurait dans les données. Le RGPD demande d’informer les gens « dans les meilleurs délais » quand une fuite risque de les exposer à un risque élevé. C’est à la CNIL de juger si 17 jours respectent cette exigence. D’ici là, quiconque ne suivait pas les nouvelles n’avait reçu aucun avis.

La plupart des personnes touchées n’auront aucune nouvelle de Tellter. Environ 27 millions de comptes ont vu leurs données d’IP et de lieu exposées, mais seulement environ un million d’adresses courriel figuraient dans les données. La vérification ne recueillait jamais de courriel. Le rapport ne décrit aucun moyen de joindre toutes les autres personnes, à part la page publique elle-même. Si vous vous êtes vérifié avec Double Counter sans jamais utiliser son tableau de bord ni Doogle, tenez pour acquis que personne ne vous préviendra.

Ce qu’on ne sait pas

• Quelle faille de Metabase a été utilisée, et si un correctif existait avant le 4 octobre.
• Si les adresses IP copiées étaient chiffrées et, le cas échéant, si l’attaquant pouvait les déchiffrer.
• Si les données d’IP et de lieu ont été publiées ou vendues. La partie publiée jusqu’ici ne contient aucun champ d’adresse IP.
• Pourquoi l’exportation Stripe publiée compte plus de 21 000 courriels de clients uniques alors que Tellter compte environ 5 000 dossiers de paiement.
• Qui est l’attaquant.
• Ce que contient la base d’archivage de 58 millions d’utilisateurs, l’âge de ses données et pourquoi elle est conservée.
• Si la CNIL ouvrira une enquête, et quand Discord laissera de nouveaux serveurs installer le robot.

Ce que vous pouvez faire

1. Tenez pour acquis que votre adresse IP et votre emplacement approximatif circulent peut-être si vous vous êtes déjà vérifié avec Double Counter. Bien des connexions résidentielles changent d’adresse IP de temps en temps, et redémarrer votre routeur en donne parfois une nouvelle, mais pas toujours. Votre ville et votre fournisseur Internet, eux, ne changent pas ainsi.
2. Méfiez-vous des liens de « revérification » et des messages de Double Counter. L’attaquant a déjà utilisé le robot pour publier des invitations. Tellter dit ne jamais demander de mot de passe, de jeton ni de paiement par courriel ou message privé ; tout message qui le fait est une arnaque.
3. Gardez votre calme devant des menaces qui mentionnent votre ville ou votre fournisseur. Ces renseignements viennent peut-être de cette fuite, et ça ne veut pas dire que quelqu’un a votre adresse. Ne répondez pas ; signalez le compte à Discord et aux modérateurs du serveur.
4. Activez l’authentification à deux facteurs sur Discord. Votre mot de passe ne faisait pas partie de cette fuite, mais des courriels et noms d’utilisateur divulgués facilitent l’hameçonnage ciblé.
5. Si vous étiez client de Doogle ou d’Atis, méfiez-vous des faux messages de remboursement ou de facturation. Votre nom, votre adresse de facturation, la marque de votre carte, sa date d’expiration et ses quatre derniers chiffres ont été exposés, mais pas le numéro complet. Vérifiez vos relevés.
6. Demandez vos données, ou leur suppression. Utilisez la commande /privacy du robot ou écrivez à gdpr@doublecounter.gg. Si la réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la CNIL, l’autorité compétente pour Tellter.
7. Si vous gérez un serveur, suivez le conseil de Tellter : supprimez tout message de Double Counter du 4 octobre entre 12 h et 16 h 30 UTC qui invite les gens ailleurs, et vérifiez votre journal d’audit pour les actions du robot pendant cette période. Demandez-vous ensuite si vous avez vraiment besoin d’une vérification fondée sur l’adresse IP et, si oui, ce que l’outil choisi conserve et pendant combien de temps.

Comment Frame peut aider

Frame tient un catalogue des fuites connues. Ajoutez celles dont vous savez faire partie à une adresse courriel vérifiée : Frame montre ce que chacune a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte ; pour l’instant, Have I Been Pwned (en anglais) est le moyen le plus rapide de voir si votre courriel figure dans l’ensemble publié de Double Counter. Les alias de courriel de Frame vous permettent aussi de donner aux robots, tableaux de bord et autres services leur propre adresse, pour qu’une fuite comme celle-ci ne mène pas directement à votre boîte principale.

Sources

• Tellter SAS, Security incident report INC-2026-10-04, version 2.0 (en anglais), 21 octobre 2026
• Tellter SAS, Security incident report INC-2026-10-04, version 1.9 (copie de l’Internet Archive, en anglais), 5 octobre 2026
• Double Counter, Privacy Policy, telle que publiée avant la fuite (copie de l’Internet Archive du 23 septembre 2026, en anglais)
• Double Counter, Privacy Policy, version actuelle (en anglais), mise à jour le 15 octobre 2026
• Double Counter, documentation de Doogle (en anglais)
• Doogle, Doogle has been discontinued (en anglais), 10 octobre 2026
• Have I Been Pwned, Double Counter Data Breach (en anglais), ajouté le 7 octobre 2026
• The Verge, Discord users’ data was exposed in a breach at server bot Double Counter (en anglais), 7 octobre 2026
• Dexerto, Discord disables new bot installs after hack exposed millions of users’ IP addresses (en anglais), 7 octobre 2026
• Analyse par Frame des données publiées (totaux seulement, aucun dossier individuel), 31 octobre 2026