Un service de scraping de messages Discord revendique l'accès à 1,8 milliard de messages

Une nouvelle forme de collecte de données cible les utilisateurs de Discord

Des créateurs d'outils en ligne spécialisés dans Discord font la publicité d'un service qui aurait extrait 1,8 milliard de messages de 35 millions d'utilisateurs sur 6 000 serveurs. Cette prétendue cache de données inclut également 207 millions de sessions vocales, des profils d'utilisateurs et des fichiers, soulevant de sérieuses préoccupations en matière de confidentialité. Cela survient moins de deux ans après que Discord a fermé un service similaire, Spy.Pet, pour violation de ses conditions d'utilisation.

Le nouveau service, annoncé sur un forum populaire de fuites de données, prétend offrir aux abonnés payants la possibilité de rechercher parmi des milliards d'enregistrements. Les chercheurs de Cybernews, qui ont initialement signalé le service, avertissent qu'un tel accès pourrait être utilisé pour du harcèlement ciblé, du doxxing et d'autres activités malveillantes.

L'ampleur technique de la prétendue collecte

Selon l'annonce, le service indexe 1,8 milliard de messages provenant de 35 millions d'utilisateurs. Mais les données vont au-delà du texte : elles incluraient des métadonnées de sessions vocales de 207 millions d'appels, des informations de profil d'utilisateurs et des fichiers téléchargés sur les serveurs. L'équipe de recherche de Cybernews note que, bien qu'il soit impossible de vérifier l'ampleur complète sans s'abonner au service (ce qu'ils déconseillent), l'affirmation d'indexation en direct suggère une collecte continue de données.

Cette ampleur dépasse l'opération précédente de Spy.Pet, qui avait extrait des messages publics de 620 millions d'utilisateurs. Le nouveau service intègre également des données provenant de bases de données piratées et de serveurs FiveM, étendant sa portée au-delà de Discord.

Comment fonctionne généralement le scraping de données Discord

Le scraping de messages Discord repose généralement sur des outils d'automatisation ou des selfbots (comptes utilisateur automatisés) qui extraient des données des canaux auxquels le bot a accès. Les serveurs Discord publics sont particulièrement vulnérables, car leurs messages sont visibles par tout membre. Des outils de scraping commerciaux, comme ceux disponibles sur des plateformes telles qu'Apify, proposent des guides étape par étape pour obtenir des jetons Discord et exporter l'historique des messages. Bien que ces outils aient des utilisations légitimes—analyse de communauté, archivage ou sauvegarde—ils peuvent facilement être utilisés à des fins malveillantes.

Enregistrement estonien, serveurs russes : un paradoxe de confidentialité

Les conditions d'utilisation du service indiquent qu'il est exploité depuis l'Estonie, un membre de l'UE avec une application stricte du RGPD. Cependant, les mêmes conditions indiqueraient que les données extraites sont stockées sur des serveurs situés en Russie. Cela crée une échappatoire juridique : tout en revendiquant la conformité aux lois européennes sur la vie privée, le référentiel de données pourrait être hors de portée de l'UE.

« Le service est probablement créé pour faciliter le harcèlement en ligne », a expliqué l'équipe de Cybernews. La stratégie de double localisation pourrait aider les opérateurs à éviter les conséquences juridiques tout en monétisant les données de deux manières : en facturant les utilisateurs pour accéder aux messages, et en facturant les victimes pour que leurs données soient exclues.

Monétisation par l'atteinte à la vie privée

Le modèle économique du service semble conçu pour exploiter à la fois la demande de surveillance et le désespoir pour la vie privée. Les chercheurs notent que cela reflète le modèle de Spy.Pet, qui proposait également une « option entreprise » pour l'entraînement à l'IA—incluant soi-disant l'intérêt d'agences fédérales. En facturant à la fois l'accès et l'omission, les opérateurs peuvent profiter de la brèche qu'ils créent.

Comparaison avec Spy.Pet et le jeu du chat et de la souris

Début 2024, Discord a banni les comptes et bots liés à Spy.Pet, coupant ainsi son approvisionnement en données. Les conditions d'utilisation de Discord interdisent explicitement le scraping, et l'entreprise a déclaré qu'elle prenait des mesures d'application contre les contrevenants. Pourtant, l'émergence d'un service similaire suggère que les mesures sont insuffisantes.

Le nouveau service prétend avoir « plus d'intégration avec les bases de données piratées et les serveurs FiveM », indiquant une évolution dans l'agrégation de données. FiveM, un mod multijoueur populaire de Grand Theft Auto, héberge souvent de grandes communautés avec des serveurs Discord. En combinant les données Discord avec des fuites externes, le service construit un profil plus riche des utilisateurs, augmentant sa valeur pour le harcèlement ou l'usurpation d'identité.

Implications pour les utilisateurs et communautés Discord

Pour les utilisateurs quotidiens, l'existence d'un tel service signifie que tout ce qui est publié sur des serveurs Discord publics pourrait être archivé, consultable et accessible à quiconque est prêt à payer. Même les serveurs privés ne sont pas à l'abri si un membre exécute un bot de scraping. Les sessions vocales, bien que plus difficiles à enregistrer, sont désormais également ciblées.

Le risque n'est pas hypothétique : plus tôt cette année, un groupe a prétendu avoir extrait plus de 348 millions de messages de près de 1 000 serveurs Discord publics. Avec des outils devenant plus sophistiqués et accessibles, la barrière à l'entrée pour le scraping à grande échelle s'abaisse. Les gestionnaires de communauté et les administrateurs de serveurs devraient prendre des mesures proactives pour limiter l'exposition, comme restreindre la visibilité de l'historique des messages et surveiller les bots non autorisés.

Discord n'a pas encore commenté publiquement ce service spécifique, mais le schéma suggère un jeu du chat et de la souris continu. Alors qu'une opération de scraping est fermée, une autre émerge—souvent avec plus de fonctionnalités et de meilleures techniques d'évasion. La course aux armements entre la sécurité de la plateforme et les collecteurs de données ne montre aucun signe de ralentissement.