Des déclarations de violation de données falsifiées ont été soumises sur le portail officiel de l’État du Maine et publiées en ligne avant que leur authenticité ne soit vérifiée. Plusieurs entreprises ont démenti ces informations à la suite de cette campagne trompeuse.
Une notification, censée émaner de la plateforme de réalité virtuelle sociale VRChat, figure parmi les entrées les plus récentes dans la base de données du procureur général de l’État.
Un porte-parole de l’entreprise a cependant affirmé que cette notification était fausse. Elle aurait été déposée sous le nom d’un employé fictif.
L’entrée frauduleuse indique que les données personnelles de plus de 2,4 millions d’utilisateurs de VRChat ont été exposées. Des pirates auraient eu accès à l’environnement cloud de la société.
L’auteur de la fausse information a pris soin de rédiger une lettre de notification pour les personnes concernées. Ce document affirme que l’intrusion a eu lieu entre le 10 et le 12 mai et qu’elle a touché plusieurs catégories de données.
- Le nom d’utilisateur VRChat
- L’adresse email liée au compte
- Le statut d’abonnement VRChat+
- L’historique de connexion, qui comprend les appareils, les identifiants matériels et les adresses IP
- L’identifiant utilisateur Steam ou Meta associé au compte
Charles Tupper, responsable de la communauté chez VRChat, a déclaré que la notification dans la base du procureur général du Maine était frauduleuse. « VRChat n’a pas soumis cet avis, et l’employé ou l’email cité n’existe pas. Nous n’avons aucune raison de croire que nos données ou nos systèmes ont été compromis. »
Il a ajouté que l’entreprise était « en train de contacter le bureau du procureur général du Maine pour demander le retrait de cette notification. » Le PDG et cofondateur de VRChat, Graham Gaylor, a confirmé ces déclarations.
Le bureau du procureur général du Maine a répondu à une demande de commentaires. Il a indiqué que « l’avis allait être retiré » et qu’il n’avait « pas connaissance d’un autre exemple de déclaration intentionnellement fausse. »
Plus tôt cette semaine, le bureau du procureur général du Maine avait listé une autre notification suspecte, attribuée à Discord. Celle-ci prétendait que 10 millions de personnes avaient été touchées par une fuite de données.
Le bureau a confirmé à BleepingComputer que toute personne peut soumettre un formulaire de notification. Ces déclarations sont ajoutées au portail sans vérification préalable.
À propos de la validité de la soumission concernant Discord, le bureau a précisé : « Nous n’avons aucune connaissance indépendante des violations. L’entité qui soumet remplit les informations et elles vont directement sur le site. Nous allons examiner celle que vous avez signalée. »
Contrairement à la plupart des notifications officielles, l’entrée Discord ne comprenait pas de lettre d’information aux consommateurs. Elle donnait des renseignements vagues et peu fiables, comme un contact Gmail et un numéro de téléphone factice.
Les détails de la prétendue violation, survenue le 9 juillet 2024 et découverte le 8 août 2025, étaient incohérents. La date de notification aux consommateurs était fixée au 1er janvier 2000, ce qui trahissait une fausse déclaration.
Une véritable violation de données a bien touché Discord en 2025, mais elle est survenue le 20 septembre. Elle provenait d’une compromission du système d’assistance Zendesk de l’entreprise.
Les pirates avaient déclaré à l’époque avoir volé des données de 5,5 millions d’utilisateurs à partir de 8,4 millions de tickets.
Même si elles figurent sur un portail officiel, la validité des déclarations de violation ne doit pas être tenue pour acquise. L’absence de contrôle rigoureux permet aux fraudeurs de diffuser de fausses informations. Cela peut causer un préjudice réputationnel et de la panique avant même que les entreprises concernées soient averties.
Ces faux dépôts montrent que les journalistes et les consommateurs doivent vérifier indépendamment les notifications auprès des entreprises concernées. Ils ne doivent pas considérer les entrées sur les portails publics comme des incidents légitimes par défaut.