BumFot a reconnu un incident de sécurité après la diffusion, le 7 septembre 2026, d’une base attribuée à son service d’albums photos. Son fondateur a publié une mise au point ; dans une mise à jour du 12 octobre, Cyberattaque.org rapporte les précisions de l’entreprise sur la compromission d’un compte de modération.
Cette évolution change la lecture du dossier : il ne s’agit plus seulement d’une revendication. Le périmètre observé par le média et les mesures annoncées par BumFot doivent toutefois rester distincts d’un audit complet de l’incident.
Ce que BumFot a reconnu
Le fondateur annonce avoir corrigé le problème et renforcé les contrôles d’accès. Selon la réponse de l’entreprise publiée par Cyberattaque.org, un compte de modération aurait permis d’atteindre la gestion des utilisateurs et d’exporter leurs données. L’origine de la compromission initiale de ce compte n’est pas détaillée.
La leçon pour une petite équipe porte donc sur les autorisations : un compte de modération peut donner accès à des fonctions sensibles sans être le compte administrateur principal. La revue doit couvrir les exports et la consultation des profils, pas seulement les écrans d’administration les plus visibles.
Quelles données le média a observées
Cyberattaque.org rapporte une base d’environ 1 300 profils contenant notamment noms, e-mails, téléphones lorsqu’ils sont renseignés et informations de compte. Le média dit n’avoir observé ni mots de passe, ni moyens de paiement, ni photos ou vidéos privées dans les éléments consultés.
Cette limite est importante pour les utilisateurs : les informations disponibles ne permettent pas d’annoncer une fuite des albums. Elles ne permettent pas non plus de garantir que toutes les opérations de l’intrus ont été recensées. Le volume annoncé reste celui du dossier publié par le média.
Pourquoi les faux messages restent un risque
Une demande inattendue qui cite un album, un mariage ou une invitation peut paraître cohérente avec l’usage de BumFot. Ce sont des scénarios de phishing possibles, pas des campagnes observées que nous attribuons à cet incident.
Les corrections d’accès annoncées par l’entreprise ne suppriment pas les coordonnées déjà diffusées. Un nom et un numéro de téléphone restent exploitables pour personnaliser une demande longtemps après la fermeture de l’accès utilisé.
Les précautions pour les utilisateurs
Pour vérifier une invitation ou un problème de stockage, ouvrez BumFot depuis votre favori ou une adresse saisie manuellement. Ne payez pas et ne communiquez pas un code sur la seule base d’un message reçu. Demandez confirmation à l’organisateur de l’album par un autre canal si la demande est inhabituelle.
Cybermalveillance.gouv.fr recommande des mots de passe différents pour chaque service. Si vous avez réutilisé celui de BumFot, remplacez ces copies, en commençant par la messagerie. Il s’agit d’une précaution contre la réutilisation, pas de la preuve qu’un mot de passe figure dans cette fuite.
Les enseignements pour les petites équipes
Listez les comptes capables de consulter ou d’exporter des données utilisateurs. Vérifiez si leurs droits correspondent encore à leur mission, retirez les accès inutiles et prévoyez une procédure pour fermer les sessions d’un compte suspect. Ces mesures sont des recommandations, pas une description des contrôles actuels de BumFot.
Conservez des traces des exports sensibles et attribuez les accès individuellement. Un mot de passe unique ne suffit pas à limiter ce qu’un compte déjà compromis peut consulter : les permissions doivent aussi borner les conséquences.
Le lien avec Soclyde
Soclyde aide à conserver des mots de passe distincts dans un coffre chiffré sur les appareils. Une équipe peut ainsi organiser ses accès sans les disperser dans des documents ou des messages. Les permissions sur BumFot, la fermeture des sessions et les changements de mots de passe restent à gérer dans le service lui-même.
À retenir
Le dossier BumFot dispose désormais d’une reconnaissance de l’incident et d’explications sur l’accès utilisé. Le risque documenté concerne des données de profils ; il ne faut pas l’étendre sans preuve aux albums privés. Pour éviter qu’un secret réutilisé propage une compromission, consultez notre guide des mots de passe uniques et notre présentation du coffre local-first.
