Mise à jour du 13 mars 2026
Persona nous a contactés pour préciser que :
- L'environnement de test exposé était isolé des systèmes de production.
- Aucune donnée personnelle n'a été divulguée.
- Aucun client de Persona n'utilise la totalité des 269 vérifications possibles.
- Persona ne collabore avec aucune agence fédérale.
- Persona se charge uniquement du traitement des données, et ses clients contrôlent la gestion et la suppression de ces données par Persona.
Vous pouvez lire l'explication du problème par Persona et leur réponse dans ce compte rendu post-incident .
Ce qui s'est passé?
Des chercheurs qui enquêtaient sur le système de vérification d'âge de Discord affirment avoir découvert une interface vulnérable appartenant à Persona, le fournisseur de services de vérification d'identité utilisé par Discord. Cette découverte a révélé un dispositif de surveillance et de renseignement financier bien plus étendu qu'un simple outil de « sécurité pour adolescents ».
Il y a peu, nous vous annoncions que Discord limiterait les profils à un mode adapté aux adolescents jusqu'à ce que votre âge soit vérifié . Autrement dit, toute personne souhaitant continuer à utiliser Discord comme avant devrait autoriser la reconnaissance faciale, ce qui a suscité une vive polémique sur Internet.
Pour analyser ces données, Discord utilise les services de la start-up de vérification d'identité biométrique Persona Identities, Inc., une entreprise qui propose des solutions de connaissance du client (KYC) et de lutte contre le blanchiment d'argent (AML) s'appuyant sur des contrôles d'identité biométriques pour estimer l'âge d'un utilisateur.
Pour démontrer les implications en matière de confidentialité, les chercheurs ont examiné de plus près et ont trouvé une interface Persona exposée publiquement sur un serveur autorisé par le gouvernement américain, avec 2 456 fichiers accessibles.
Vous avez bien lu. Selon la chercheuse « Celeste », le code exposé, désormais supprimé, se trouvait sur un terminal autorisé par le gouvernement américain et apparemment isolé de son environnement de travail habituel. Cependant, Persona a précisé ultérieurement dans un article de blog que « ce domaine n'a jamais eu de clients fédéraux et ne contient aucune donnée client ».
Dans ces fichiers, les chercheurs ont découvert des détails sur les vastes capacités de surveillance du logiciel Persona. Outre la vérification de l'âge, ce logiciel peut effectuer 269 contrôles distincts, comparer les visages aux listes de surveillance et aux personnes politiquement exposées, filtrer les contenus médiatiques défavorables selon 14 catégories (dont le terrorisme et l'espionnage) et attribuer des scores de risque et de similarité.
Persona collecte — et peut conserver jusqu'à trois ans — les adresses IP, les empreintes digitales du navigateur et de l'appareil, les numéros d'identification gouvernementaux, les numéros de téléphone, les noms, les visages, ainsi qu'une série d'analyses de « selfies » comme la détection d'entités suspectes, la détection de poses répétées et les vérifications d'incohérence d'âge. Après la publication en ligne des conclusions de « Celeste », le PDG de Persona, Rick Song, a déclaré sur la plateforme de médias sociaux : X « Nous vérifions votre identité en toute sécurité, nous la conservons uniquement le temps nécessaire pour le compte du client, puis nous la supprimons dès que possible. »
Alors que la vérification de l'âge est un sujet brûlant d'actualité , ce genre d'information ne contribue guère à convaincre les défenseurs de la vie privée que cette vérification est dans notre intérêt. Transmettre les données recueillies lors des contrôles d'âge à des courtiers en données et à des gouvernements étrangers – Persona aurait été testé par Discord au Royaume-Uni – ne permettra pas d'instaurer le climat de confiance nécessaire pour que les utilisateurs acceptent sereinement ce type de contrôle.
Cette situation survient dans un contexte de questions plus générales quant à l'efficacité réelle de la vérification de l'âge. Euronews s'est penché sur l'impact de l'interdiction, en Australie, pionnière mondiale en matière d'accès aux réseaux sociaux pour les moins de 16 ans. Bien que la nouvelle réglementation australienne ne soit en vigueur que depuis six semaines, le régulateur australien d'Internet affirme avoir fermé environ 4,7 millions de comptes détenus par des mineurs de moins de 16 ans sur des plateformes comme TikTok. Instagram , Snapchat, YouTube , X Sur Twitch, Reddit et Threads, enfants et parents décrivent une réalité bien différente. Des entretiens avec des adolescents, des parents et des chercheurs indiquent que de nombreux enfants continuent d'accéder à des applications interdites grâce à des solutions de contournement simples.
Selon The Rage , Discord a déclaré qu'il n'utiliserait plus Persona pour la vérification de l'âge. Cependant, d'autres plateformes utilisant Persona seraient également concernées :
- Roblox : Utilise l'estimation de l'âge facial et la vérification d'identité de Persona comme base de son système de « vérification de l'âge pour discuter ».
- OpenAI / ChatGPT : Le centre d'aide d'OpenAI explique que si vous devez prouver que vous avez plus de 18 ans, « Persona est une société tierce de confiance que nous utilisons pour nous aider à vérifier l'âge », et que Persona peut demander un selfie en direct et/ou une pièce d'identité officielle.
- Lime : Le service de covoiturage déploie des flux de vérification d’âge personnalisés avec Persona afin de répondre aux exigences spécifiques de chaque région.
Les escrocs n'ont pas besoin de vous pirater. Il leur suffit que vous cliquiez une seule fois.
Malwarebytes Identity Theft Protection détecte les activités suspectes avant qu'elles ne deviennent un problème.
