Incident de sécurité d’octobre 2026 : ce qui a été corrigé
Par Romain et Valentin, l’équipe Buddiz. Publié le .
Le 20 octobre, une personne a affirmé avoir copié des informations de profil de membres Buddiz. Voici, en toute transparence, ce que nous savons, ce qui a été corrigé et ce que cela change pour vous.
Ce qui s’est passé
Le 20 octobre 2026, une personne a affirmé sur un forum avoir copié en juillet des informations de profil de membres inscrits sur Buddiz avant le 1er août 2026.
C’était possible à cause d’une erreur de configuration des droits d’accès à notre base de données. Nous l’avions déjà corrigée le 1er août 2026. Rien n’indique à ce jour que ces informations aient été utilisées.
Les informations concernées
- le prénom et l’adresse e-mail ;
- les informations que chacun avait choisi d’ajouter à son profil, par exemple le nom, la ville, les sports, la date de naissance ou le numéro de téléphone ;
- pour les membres certifiés avant le 1er août : une empreinte numérique calculée à partir de la photo lors de la certification. C’est une suite de nombres, pas la photo elle-même, et nous n’en conservons plus aucune depuis le 10 octobre ;
- les messages écrits dans les discussions de session avant le 7 octobre, qui ont pu être lus par d’autres membres connectés. C’est corrigé.
Ce qui n’est pas concerné
- les mots de passe : ils sont stockés à part, sous forme chiffrée, et n’étaient pas accessibles ;
- les photos de certification : elles sont conservées dans un espace privé, qui n’était pas accessible ;
- les données de paiement : Buddiz n’en conserve aucune.
Ce que nous avons fait
- 1er août
- erreur de configuration corrigée.
- 17 septembre
- l’e-mail, le téléphone, la date de naissance et la position de chaque membre ne sont plus lisibles que par lui.
- 7 octobre
- les discussions de session ne sont plus lisibles que par leurs participants.
- 10 octobre
- toutes les empreintes de certification ont été effacées.
- 20 octobre
- la CNIL a été informée.
- 21 octobre
- chaque personne concernée a été prévenue par e-mail, y compris celles qui avaient supprimé leur compte depuis. Le même jour, nous avons encore renforcé la protection des profils : un profil ne se consulte plus qu’à l’unité et en quantité limitée, et un contrôle automatique surveille désormais les accès anormaux.
Ce que vous pouvez faire
Vous n’avez rien à changer sur votre compte. Restez simplement vigilants face aux messages qui se présentent comme Buddiz : nous ne vous demanderons jamais votre mot de passe, un code ou un paiement par e-mail, SMS ou téléphone.
Pour toute question, écrivez-nous à support@buddiz.app : nous lisons chaque message personnellement. Vous pouvez aussi exercer vos droits sur vos données, ou vous adresser à la CNIL (cnil.fr).