BumFot victime d’un piratage ? Les données d’environ 1 300 utilisateurs revendiquées par un hacker Une fuite de données est revendiquée contre BumFot.fr, une application web permettant de partager des photos et des vidéos à l’aide de QR codes ou de liens privés. Un pirate affirme disposer de données concernant environ 1 300 utilisateurs, comprenant notamment des noms, adresses e-mail et numéros de téléphone. Le 7 septembre 2026, un utilisateur d’un forum cybercriminel a publié des données qu’il présente comme provenant de BumFot.fr. :::embed ::: La publication, intitulée « [FR] BUMFOT.FR | 1.3K », annonce un fichier au format JSON d’environ 481 Ko. Un échantillon accompagne la revendication et présente plusieurs enregistrements associés à des comptes utilisateurs. Environ 1 300 utilisateurs revendiqués D’après le titre et les informations communiquées par l’auteur de la fuite, environ 1 300 utilisateurs seraient concernés. Les données revendiquées comprennent plusieurs informations associées aux comptes : • identifiants UUID ; • noms ; • adresses e-mail ; • numéros de téléphone ; • rôles des comptes ; • pays ; • dates d’inscription ; • dates de dernière connexion ; • statuts des comptes. L’échantillon visible contient effectivement plusieurs de ces catégories d’informations personnelles. Certains enregistrements comportent simultanément un nom, une adresse e-mail et un numéro de téléphone, tandis que le téléphone est absent pour d’autres comptes. Pour des raisons de confidentialité, nous ne reproduisons aucune donnée permettant d’identifier les personnes apparaissant dans cet échantillon. Publication revendiquant la fuite de données de BumFot Des données liées aux comptes BumFot BumFot est présenté comme un service permettant de partager des photos et des vidéos à l’aide de QR codes ou de liens privés, notamment pour créer des albums collaboratifs sans imposer aux invités la création d’un compte ou le téléchargement d’une application. Les données revendiquées semblent principalement concerner les informations associées aux comptes utilisateurs du service. L’échantillon montre notamment des identifiants uniques, noms, adresses e-mail, numéros de téléphone et informations relatives à l’activité des comptes. Des champs indiquant le rôle de l’utilisateur, son pays ainsi que le statut du compte sont également visibles. Les dates d’inscription et de dernière connexion concernées La base revendiquée ne contiendrait pas uniquement des coordonnées personnelles. L’échantillon comporte également des champs correspondant à la date d’inscription et à la dernière connexion des utilisateurs. Ces informations pourraient permettre de déterminer quand certains comptes ont été créés et à quelle date ils ont été utilisés pour la dernière fois. Les enregistrements visibles dans l’échantillon comportent également un statut indiquant si le compte est considéré comme actif. Des numéros de téléphone potentiellement exposés Parmi les informations les plus sensibles visibles dans l’échantillon figurent des numéros de téléphone associés directement aux noms et adresses e-mail des utilisateurs. Tous les comptes ne semblent toutefois pas disposer d’un numéro renseigné, certains enregistrements présentant une valeur vide pour ce champ. Si la base revendiquée est authentique, l’association de ces différentes informations pourrait faciliter des tentatives de phishing, de smishing ou d’usurpation d’identité visant les utilisateurs concernés. Comment BumFot aurait-il été piraté ? La publication affirme partager des données provenant de BumFot.fr, mais la capture disponible ne fournit pas suffisamment d’informations techniques pour déterminer comment celles-ci auraient été obtenues. Aucun élément visible ne permet à ce stade d’établir indépendamment la méthode utilisée pour accéder aux informations. Il n’est donc pas possible de déterminer si les données proviennent d’une vulnérabilité de l’application, d’une mauvaise configuration, d’un compte compromis, d’un accès à une base de données ou d’une autre méthode. La date du 7 septembre 2026 correspond à la publication de la revendication et ne permet pas nécessairement de connaître la date exacte à laquelle les données auraient été récupérées. Le piratage de BumFot est-il confirmé ? À ce stade, il convient de distinguer la revendication du pirate d’une confirmation officielle de l’incident. La publication est accompagnée d’un échantillon structuré présenté comme provenant de BumFot. Celui-ci comporte plusieurs champs correspondant à des informations de comptes utilisateurs ainsi que des données personnelles. Cela donne de la consistance à la revendication, mais ne permet pas à lui seul de confirmer l’origine exacte des informations, l’intégralité du fichier annoncé ou le nombre précis de personnes concernées. La mention « 1.3K » suggère qu’environ 1 300 enregistrements seraient disponibles, tandis que le fichier est annoncé à 481 Ko. Ces éléments doivent donc rester présentés comme des informat
BumFot : piratage et fuite de données — ce que l’on sait, que faire
