Scribd, Slideshare, Everand : accès non autorisé confirmé, mais ni volume ni champs de données précisés

Scribd, Inc., maison mère de Scribd, Slideshare, Everand et Fable, a reconnu sur son centre d’aide, dans une page intitulée « Informations concernant l’incident de sécurité récent », qu’un tiers non autorisé avait pu accéder à ses systèmes. L’éditeur écrit l’avoir « récemment découvert » et avoir immédiatement coupé l’accès, sans indiquer la date de l’intrusion ni sa durée. Le tiers a ensuite utilisé son accès pour atteindre d’autres systèmes internes et consulté certaines informations d’utilisateurs. Selon les métadonnées du centre d’aide, la version anglaise a été créée le 21 septembre 2026, les versions traduites le 25 septembre et le texte modifié pour la dernière fois le 1er octobre, tandis que les sites de veille ont relayé l’incident le 30 septembre, date retenue ici faute de pouvoir établir à partir de quand la page était publique.

Le point délicat tient à la manière dont Scribd qualifie les données : pour « la plupart des comptes », il s’agirait d’informations de base, et pour « un plus petit nombre de comptes », d’informations plus sensibles, sans que la page ne dresse la liste des champs concernés dans l’une ou l’autre catégorie. Cette imprécision empêche d’évaluer le risque, puisqu’un utilisateur ne peut savoir ni si son adresse électronique ou son identité figurent dans le périmètre, ni si des éléments d’authentification ou de paiement sont en cause, ni donc s’il doit surveiller un moyen de paiement ou changer des mots de passe réutilisés. La réinitialisation recommandée pour les quatre marques est présentée comme une précaution, ce qui ne revient ni à confirmer ni à écarter une exposition des mots de passe, et la page ne dit pas lesquelles des quatre marques sont réellement concernées. Le volume reste inconnu : le milliard d’utilisateurs annoncé par le groupe le 6 août 2026 correspond, selon la note de cette annonce, au cumul des comptes créés depuis 2007 sur Scribd, Slideshare et Everand, et ne renseigne en rien sur le nombre de personnes touchées, d’où l’absence de chiffre dans cette fiche.

La dimension européenne repose sur des indices plutôt que sur un décompte : la page d’incident existe en français ainsi que dans douze autres langues, la ligne d’assistance dédiée propose une plage horaire pour l’Europe (de 11 h à 23 h, heure d’Europe centrale) et le groupe, établi à San Francisco, sert des utilisateurs dans le monde entier. Scribd n’indique ni la proportion d’Européens concernés ni l’autorité qu’il a informée (CNIL, Data Protection Commission irlandaise ou autre), la formule étant seulement « les autorités compétentes en matière de protection des données ». Si les informations de base comprennent des éléments de contact ou d’identification, ce que la page ne dit pas, elles suffiraient à nourrir un hameçonnage se faisant passer pour l’une des quatre marques, risque que l’éditeur anticipe en mettant en garde contre les messages réclamant un mot de passe ou des informations personnelles.

Scribd affirme avoir identifié et fermé la vulnérabilité exploitée, sans la nommer, mandaté des experts externes en criminalistique et en cybersécurité, et informé les forces de l’ordre. Les notifications individuelles sont envoyées par phases, au nom de l’éditeur, par le prestataire Epiq, et ne pas avoir reçu de message ne signifie pas nécessairement ne pas être concerné ; la formule « cette semaine », dans un texte modifié pour la dernière fois le 1er octobre, ne permet pas de dater les premiers envois. À la date du 8 octobre 2026, aucun acteur n’a revendiqué l’incident à notre connaissance et nous n’avons trouvé aucune couverture dans la presse spécialisée anglophone : le statut confirmé et l’ensemble des faits reposent donc sur la seule communication de l’entreprise, relayée par des sites de veille qui n’apportent pas d’élément indépendant. Certains de ces relais évoquent aussi une suspension temporaire des téléchargements, absente de la version actuelle de la page officielle et donc non retenue ici.

Les personnes disposant d’un compte chez l’une des quatre marques ont intérêt à réinitialiser leur mot de passe sans attendre une notification, et à le changer partout où il a été réutilisé, l’absence de message d’Epiq (à chercher aussi dans les courriers indésirables) n’écartant pas une exposition. Tant que la nature des données reste inconnue, il est raisonnable de surveiller les relevés du moyen de paiement associé à un éventuel abonnement, de se méfier de tout courriel, SMS ou appel évoquant un compte ou un remboursement, et de vérifier toute communication en consultant directement la page d’incident plutôt qu’en cliquant sur un lien reçu. Les résidents de l’Union européenne peuvent enfin exercer leur droit d’accès (article 15 du RGPD) pour demander quelles informations les concernant figuraient dans le périmètre, démarche qui complète la ligne d’assistance dédiée.