Le 21 octobre 2026, Supercell a indiqué que des vidéos internes avaient été copiées et que les noms et adresses électroniques d’utilisateurs de la plateforme vidéo avaient été consultés, tout en précisant que l’enquête n’avait alors pas mis en évidence de données de joueurs touchées (annonce officielle). En pratique, les personnes ayant participé à des enregistrements ou collaboré avec l’entreprise doivent examiner avec prudence les contacts qui s’appuient sur ces liens ; les joueurs ordinaires ne doivent pas en déduire que leur compte de jeu ou leur boîte électronique a été compromis.
À qui s’adresse cet article ? Aux intervenants et animateurs d’enregistrements liés à Supercell, ainsi qu’aux personnes ayant travaillé avec l’entreprise et qui ne savent pas si elles figuraient parmi les utilisateurs de la plateforme. Les joueurs qui suivent l’affaire y trouveront aussi une distinction entre les faits confirmés et les scénarios qui ne le sont pas.
Dernière mise à jour : 23 octobre 2026. Vérification des faits auprès de l’annonce de Supercell et des conseils de la Commission fédérale du commerce des États-Unis sur le hameçonnage.
L’incident de sécurité de la plateforme vidéo de Supercell ne signifie pas que tous les comptes sont touchés
Les éléments publiés décrivent un incident sur une plateforme utilisée pour héberger des vidéos internes. Supercell indique qu’une personne non autorisée a accédé à cette plateforme, que certains contenus vidéo internes ont été copiés et que les noms et adresses électroniques des utilisateurs de la plateforme ont été consultés. L’entreprise précise également qu’au moment de son annonce, son enquête n’avait pas révélé d’atteinte aux données des joueurs et qu’elle se poursuivait.
Ces éléments doivent rester distincts. Une adresse électronique consultée dans les données d’une plateforme n’est pas, à elle seule, la preuve que la boîte de messagerie correspondante a été ouverte. La copie de vidéos internes ne prouve pas que les comptes de jeu associés ont été compromis. Enfin, l’absence d’indication concernant les données des joueurs dans l’annonce ne permet pas de déduire que chaque personne liée à une activité professionnelle ou à une vidéo a été affectée.
Cette séparation est importante pour décider quoi faire. Si une personne reçoit un message mentionnant un tournage, une intervention ou des collègues, ces détails peuvent rendre le contact crédible. Ils ne démontrent pas que l’expéditeur est bien celui qu’il prétend être. À l’inverse, un joueur qui n’a aucun lien connu avec la plateforme ne devrait pas changer ses coordonnées ou communiquer des informations de compte uniquement parce qu’il a entendu parler de l’incident.
Le risque à surveiller est donc circonscrit : des données d’identification liées à la plateforme pourraient servir à personnaliser des messages. C’est une possibilité de détournement, pas une confirmation qu’un message frauduleux a été envoyé à chaque utilisateur.
Intervenants aux enregistrements : les détails familiers ne prouvent pas l’identité
Supercell indique que les personnes ayant participé comme intervenants ou animateurs à des enregistrements organisés par l’entreprise, ou pour son compte, sont probablement plus susceptibles d’être concernées. Pour ces personnes, le risque ne se limite pas à un message générique. Un interlocuteur malveillant pourrait tenter d’établir une relation de confiance en évoquant une séance, un sujet abordé, une équipe ou une personne rencontrée.
Cela ne rend pas chaque prise de contact suspecte, mais cela change le niveau de vérification nécessaire. Dans les milieux de la vidéo, de l’audio et du design, par exemple, une demande peut sembler cohérente avec un projet déjà réalisé : récupérer une séquence, valider une version montée, fournir une autorisation d’image ou accéder à un espace de partage. Le vocabulaire professionnel et des références exactes à une production ne suffisent pourtant pas à authentifier l’expéditeur.
Un scénario mérite une attention particulière : un courriel annonce qu’une vidéo doit être retirée ou approuvée rapidement, puis invite à ouvrir un fichier ou à se connecter à un espace de révision. Le message peut nommer un événement réel, mais le lien peut conduire à une fausse page d’accès ou à un téléchargement malveillant. Il faut donc vérifier la demande par un canal déjà connu, comme une adresse de travail enregistrée précédemment ou un contact dont les coordonnées proviennent d’un échange antérieur fiable. Il est préférable de ne pas utiliser le numéro, le lien ou l’adresse indiqués dans le message inattendu pour effectuer cette vérification.
Pour reconnaître les tactiques d’usurpation fondées sur l’identité d’une personne de confiance, les conseils du FBI sur les campagnes de messages malveillants par usurpation rappellent que le contexte et le nom affiché ne suffisent pas à garantir l’authenticité d’un contact. Ce principe s’applique aussi à une demande qui semble venir d’un organisateur ou d’un collègue : il faut confirmer la demande séparément, surtout si elle exige un accès, un code ou une action inhabituelle.
Collaborateurs et partenaires : confirmer le lien avec la plateforme sans répondre au message
Les employés, partenaires et autres participants ayant travaillé avec Supercell ne sont pas tous désignés comme touchés. L’annonce recommande aux personnes qui ont collaboré avec l’entreprise, mais ne savent pas si elles ont utilisé la plateforme, de se renseigner par les canaux qu’elle indique. Il convient de respecter cette nuance : avoir travaillé sur un projet ne prouve pas que l’adresse électronique a été enregistrée sur la plateforme.
Pour établir si un contact est légitime, la question utile n’est pas seulement « cette personne connaît-elle le projet ? », mais aussi « cette demande correspond-elle à une relation vérifiable et à un mode de communication habituel ? ». Une demande de fichier, de paiement, d’accès à un compte ou de transmission d’informations personnelles qui arrive sans contexte attendu mérite une confirmation indépendante.
Voici une méthode que les personnes concernées peuvent appliquer sans s’appuyer sur les coordonnées fournies dans le message :
- Ne cliquez pas et ne répondez pas dans l’urgence. Conservez le message et relevez ce qu’il réclame : connexion, document, code de confirmation, paiement ou autorisation.
- Vérifiez l’expéditeur au-delà du nom affiché. Examinez l’adresse complète et comparez-la à une adresse déjà connue. Une adresse ressemblante ou un fil de discussion existant ne constitue pas, seul, une preuve suffisante.
- Reconstituez la relation par vos propres traces. Consultez vos échanges précédents, votre calendrier ou les documents de travail conservés. Ne téléchargez pas une pièce jointe simplement pour retrouver le contexte.
- Confirmez par un canal indépendant. Utilisez des coordonnées déjà enregistrées ou un moyen de contact obtenu avant le message suspect. Ne réutilisez pas un numéro de téléphone ou un lien ajouté à ce message.
- Demandez si l’intervention concernait la plateforme vidéo. Pour les personnes qui ne le savent pas, suivez les voies de contact indiquées par Supercell dans son annonce officielle, plutôt que de transmettre des données en réponse à un courriel non sollicité.
- Signalez le message et conservez les éléments utiles. Si le contact paraît frauduleux, gardez le message et les détails pertinents pour le signaler par les canaux appropriés. Les recommandations de la FTC sur la reconnaissance et le traitement des tentatives d’hameçonnage conseillent notamment de ne pas cliquer sur les liens inattendus et de vérifier les demandes par un canal sûr.
Cette démarche vaut aussi pour une demande faite par téléphone. Une voix connue ou des détails exacts sur un tournage peuvent être imités ou repris à partir d’informations accessibles à l’interlocuteur. Si l’appelant réclame un code reçu par courriel, un accès à distance ou des identifiants, interrompez l’échange et rappelez un contact fiable avec un numéro déjà vérifié.
Joueurs ordinaires : l’annonce ne confirme pas une fuite de données de jeu
Pour les personnes qui jouent aux jeux Supercell sans avoir participé à un enregistrement ou collaboré avec l’entreprise, l’information publiée ne justifie pas de conclure que leurs données de joueur ont été exposées. L’annonce du 21 octobre 2026 indique que, selon l’enquête à cette date, aucune donnée de joueur touchée n’avait été identifiée. L’enquête restant en cours, cette formulation doit être rapportée avec précision : elle ne constitue ni une preuve d’atteinte aux comptes de joueurs, ni une affirmation que tous les risques futurs sont impossibles.
Un joueur peut recevoir un message qui prétend proposer une récompense, rétablir un compte ou vérifier son identité « après l’incident ». Le sujet d’actualité ne rend pas cette demande officielle. Aucun destinataire ne devrait envoyer son mot de passe, un code de vérification, des informations de paiement ou un fichier confidentiel à la suite d’un message inattendu. La page d’assistance officielle de Supercell sur la sécurité des comptes Supercell ID permet de consulter les recommandations de l’entreprise sans passer par un lien reçu d’un expéditeur inconnu.
Une réaction proportionnée consiste à ne pas cliquer, à ne pas fournir d’informations et à vérifier les communications par les pages ou moyens de contact officiels utilisés indépendamment. Il n’y a pas lieu de modifier précipitamment une adresse de récupération ou de transmettre des informations personnelles à un interlocuteur qui prétend répondre à l’incident. Pour une vue d’ensemble des risques et des choix de séparation des adresses, le guide de protection de la vie privée avec le courrier électronique aide à distinguer l’exposition d’une adresse des autres formes d’accès à un compte.
Message suspect reçu : la réponse dépend des informations déjà communiquées
La bonne action dépend de ce qui s’est passé, pas uniquement du nom de l’entreprise mentionné dans le message. Une personne qui a seulement reçu un courriel peut éviter l’interaction et vérifier le contact indépendamment. Si elle a déjà cliqué, elle doit examiner ce qui s’est ouvert et ne pas saisir d’identifiants sur une page inattendue. Si elle a communiqué des informations, elle doit agir selon leur nature.
Si un mot de passe ou un code a été transmis, accédez au compte par l’application ou le site officiel que vous utilisez habituellement, sans reprendre le lien du message. Modifiez le mot de passe concerné et ceux qui auraient été réutilisés ailleurs. Vérifiez les paramètres de sécurité, les appareils connectés et les coordonnées de récupération si le service le permet. En cas de doute, suivez les procédures d’assistance publiées par le service concerné.
Si des informations de paiement ont été données, contactez rapidement l’établissement financier par un numéro obtenu depuis ses documents ou son site officiel. Si des documents d’identité, des données professionnelles ou d’autres informations sensibles ont été transmis, contactez l’organisme ou le service auquel elles se rapportent afin de connaître les mesures adaptées. Les démarches diffèrent selon l’information exposée ; une adresse électronique seule ne commande pas les mêmes actions qu’un mot de passe ou des coordonnées bancaires. La FTC détaille les mesures à envisager après une escroquerie, notamment le signalement et la prise de contact avec les organismes concernés.
Enfin, si le message propose une vérification par téléphone, ne communiquez pas de code à usage unique à l’appelant. Un code reçu par courriel ou SMS sert généralement à autoriser une action sur un compte ; le transmettre peut permettre à un tiers de mener cette action. Une demande pressante, une menace de fermeture ou une promesse de rétablissement immédiat ne remplace jamais une authentification indépendante.
Adresse principale, alias ou boîte temporaire : choisir selon la durée du compte
L’adresse électronique intervient à deux moments différents. Pour l’incident actuel, une nouvelle adresse ne peut ni annuler l’accès déjà réalisé à des données de plateforme, ni identifier l’expéditeur d’un message frauduleux, ni empêcher une tentative de hameçonnage ciblé. Pour les inscriptions futures sur des sites peu fiables ou utilisés une seule fois, en revanche, séparer l’adresse peut limiter la diffusion de l’adresse principale et faciliter le repérage d’une exposition ultérieure.
| Besoin | Option adaptée | Avantage | Limite à prendre en compte |
|---|---|---|---|
| Compte important avec récupération à long terme | Adresse principale ou alias durable | Permet de conserver une voie de récupération connue | L’adresse peut être exposée si le service est compromis ou la partage |
| Inscriptions répétées à des services différents | Alias distinct par service | Permet de séparer les usages et de repérer quelle adresse reçoit des sollicitations | Nécessite de gérer les alias et de conserver l’accès à celui du compte |
| Inscription ponctuelle à faible confiance | Adresse temporaire | Évite de communiquer l’adresse principale pour un usage sans enjeu durable | Peu adaptée à un compte important, à une récupération future ou à une correspondance nécessitant une réponse |
Une règle de décision simple évite les mauvais usages :
- Si le compte contient des achats, des données personnelles importantes ou une procédure de récupération à long terme, utilisez une adresse durable, idéalement distincte des autres comptes sensibles, et conservez-en l’accès.
- Si vous prévoyez des échanges répétés avec le service, choisissez un alias pérenne ou une adresse dédiée que vous pourrez gérer dans la durée.
- Si l’inscription est ponctuelle, à faible confiance, et ne nécessite ni récupération ni réponse ultérieure, une boîte temporaire peut réduire l’exposition de l’adresse principale.
- Si le message inattendu est déjà arrivé, ne comptez pas sur une nouvelle adresse temporaire pour le neutraliser. Vérifiez l’expéditeur et protégez le compte correspondant.
Le comparatif de l’adresse temporaire et de l’alias de transfert permet d’évaluer cette distinction avant une inscription. L’adresse temporaire sert à compartimenter une inscription future ; elle ne constitue ni un filtre infaillible contre les messages malveillants, ni une garantie d’anonymat. Une adresse séparée peut réduire l’exposition de la boîte principale, mais elle ne rend pas fiable un interlocuteur qui connaît déjà votre nom ou vos activités.
Si un usage ponctuel suffit, PostTmp propose une adresse temporaire sans inscription, utilisable immédiatement pour éviter de donner votre adresse principale lors d’une inscription à faible confiance ou d’une réception ponctuelle. Cela ne remplace pas la vérification indépendante d’un contact Supercell, et ne convient pas aux comptes importants qui exigent une récupération durable. Pour ce type d’inscription seulement, séparer l’adresse dès le départ est plus simple que de tenter de corriger ensuite la diffusion de votre boîte principale.
La démarche dure plus d’une journée ? Donnez-lui un alias contrôlable
Transférez les messages durables vers votre véritable adresse, puis mettez l’entrée en pause ou supprimez-la lorsque nécessaire.