Les personnes qui ont ouvert un compte sur BumFot pour créer ou gérer des albums photo partagés pourraient voir leur nom et leurs coordonnées exposés après un piratage présumé. Selon la revendication publiée le 7 septembre 2026, un export de la base des comptes du service, portant sur environ 1 300 personnes, est proposé au téléchargement.
Qui figurerait dans l'annuaire de BumFot
BumFot est une application web française de partage de photos et de vidéos par QR code ou par lien privé. Elle permet de créer des albums collaboratifs sans que les invités aient à ouvrir un compte. Les personnes concernées seraient donc les titulaires de compte, et non les invités qui se contentent de consulter ou d'alimenter un album.
Diffusé sur un forum cybercriminel et relayé sur deux hébergeurs de fichiers, le dépôt exposerait le nom, l'adresse électronique et, quand il est renseigné, le numéro de téléphone. S'y ajouteraient le pays, le rôle du compte, et les dates d'inscription et de dernière connexion, les inscriptions couvrant la période de janvier 2023 à la fin août 2026. D'après l'annonce, les données proviendraient d'un export de la plateforme elle-même.
Ni photos ni liens d'albums annoncés
Le fichier se limiterait à l'annuaire des comptes : ni mot de passe, ni donnée bancaire, ni photo, ni lien d'album n'y figureraient. Les contenus partagés ne seraient donc pas accessibles à partir de ce dépôt.
Les coordonnées restent exploitables. Une adresse électronique ou un numéro de téléphone rattachés à un service de partage de photos pourraient servir de prétexte à des messages frauduleux : fausse alerte sur un album, invitation à se reconnecter, avertissement de suppression de contenus. La date de dernière connexion permet aussi de distinguer les comptes actifs des comptes délaissés. L'éditeur du service n'a pas confirmé ces éléments à ce stade.
Détails techniques :
- Environ 1 300 personnes annoncées
- Inscriptions de janvier 2023 à fin août 2026
- Export présenté comme issu de la plateforme elle-même
- Ni mot de passe, ni donnée bancaire, ni photo, ni lien d'album annoncés
- Téléchargement proposé sur deux hébergeurs de fichiers
Données concernées :
- Nom complet
- Adresse email
- Numéro de téléphone (lorsqu'il est renseigné)
- Pays
- Rôle ou droits d'accès du compte
- Dates d'inscription et de dernière connexion
- Identifiant utilisateur
Mentions :
Statut Fuites Infos : Revendiquée