Reconnaître les arnaques Discord les plus courantes

Un message annonce que vous avez gagné un abonnement Nitro, souvent avec un visuel imitant parfaitement ceux de Discord. Le lien mène vers une page de connexion copiée à l'identique, sur un nom de domaine proche : une lettre en plus, un tiret, une extension différente.

Discord n'offre jamais de Nitro par un lien envoyé en message privé. Les vrais cadeaux Nitro apparaissent dans la conversation sous forme d'un encart officiel avec un bouton « Accepter », pas comme un lien vers un site extérieur.

On vous demande de scanner un QR code avec l'application Discord pour vérifier votre compte, accéder à un serveur ou recevoir une récompense. Ce QR code est en réalité une demande de connexion : en le scannant, vous connectez l'attaquant à votre compte, sans qu'il ait besoin de votre mot de passe ni de votre A2F.

Règle simple : ne scannez un QR code de connexion Discord que si c'est vous-même qui l'avez affiché sur votre propre ordinateur.

Un contact, parfois un ami dont le compte a déjà été volé, vous demande de tester le jeu qu'il développe. Le fichier téléchargé contient un programme qui récupère votre session Discord, vos mots de passe enregistrés dans le navigateur, voire vos portefeuilles de cryptomonnaie.

Méfiez-vous particulièrement quand la demande vient d'un ami qui ne vous parle jamais de développement, ou quand on insiste pour que vous désactiviez votre antivirus.

Un compte se présentant comme l'équipe de Discord, de la modération ou de la sécurité vous écrit pour signaler que votre compte va être supprimé suite à un signalement. Pour « prouver votre innocence », il faut cliquer sur un lien ou parler à un « agent ».

Discord ne contacte jamais ses utilisateurs par message privé de cette façon. Les messages système officiels portent un badge spécifique et ne demandent jamais votre mot de passe.

Skins de jeux, cartes cadeaux, objets rares : on vous annonce un gain et on vous demande de vous connecter avec votre compte Steam ou Discord sur un site tiers. Là encore, la page de connexion est une copie.

Un vrai giveaway sur un serveur se joue directement dans Discord, par un bouton de participation, et le lot est remis par le staff du serveur.

• Bloquez les liens par défaut avec une liste blanche de domaines autorisés : les nouveaux domaines de phishing ne passeront jamais.
• Installez un salon honeypot : les comptes volés qui envoient l'arnaque dans tous les salons sont sanctionnés au premier message.
• Rappelez régulièrement dans vos annonces que le staff ne demande jamais de mot de passe ni de scanner un QR code.
• Encouragez vos membres à signaler immédiatement tout message suspect via un ticket.

Changez immédiatement votre mot de passe Discord : cela déconnecte toutes les sessions, y compris celle de l'attaquant. Activez l'A2F si ce n'était pas fait, vérifiez la liste des applications autorisées dans vos paramètres, et retirez celles que vous ne reconnaissez pas. Si vous avez lancé un fichier, analysez votre ordinateur et changez aussi les mots de passe enregistrés dans votre navigateur. Enfin, prévenez vos amis : l'arnaque leur a peut-être été envoyée en votre nom.