3. Retirer les bots et webhooks inconnus
Dans les paramètres du serveur, sous Intégrations, vérifie quels bots et webhooks existent. Retire tout bot que personne dans l'équipe n'a ajouté volontairement, et supprime les webhooks créés pendant l'attaque. Avec des webhooks, on peut continuer à poster du spam même sans bot.
Rewind peut s'en charger lui-même dès qu'il est activé. Avec Retirer tout de suite les bots avec des permissions dangereuses, Lizbot expulse un bot qu'un compte non autorisé ajoute avec des permissions dangereuses, et agit contre ce compte. Avec Retirer tout de suite les permissions dangereuses de l'incident, Lizbot annule les permissions ajoutées pendant l'incident.
Le guide Webhook Discord détourné montre comment repérer les webhooks compromis et limiter la permission qui les gère.
4. Verrouiller le serveur
Pendant que tu fais le ménage, aucun nouveau compte ne doit arriver et personne ne doit continuer à spammer dans les salons :
- Dans les paramètres du serveur, sous Invitations, supprime les liens suspects ou tous les liens actifs. Si tu le souhaites, Rewind suspend automatiquement toutes les invitations pendant un incident. Lizbot a besoin pour ça de la permission « Gérer le serveur ».
/channel lockdown start relève temporairement le niveau de vérification à Élevé, pendant 15 minutes par défaut, et jusqu'à 24 heures avec l'option minutes. Là aussi, Lizbot a besoin de « Gérer le serveur ». /channel lockdown end met fin au confinement plus tôt./channel lockall verrouille, après confirmation, tous les salons textuels pour les membres normaux. /channel unlockall annule ce verrouillage.
Pour te défendre contre les vagues d'arrivées venues de l'extérieur, lis le guide sur la protection anti-raid.
5. Sécuriser le compte piraté
Tant que l'attaquant est dans le compte du membre de l'équipe, il peut revenir dès que quelqu'un lui rend ses rôles. La personne concernée devrait donc, idéalement depuis un appareil sain :
- changer son mot de passe, si besoin via « Mot de passe oublié ? » sur la page de connexion
- dans les paramètres utilisateur, sous Appareils, déconnecter toutes les sessions inconnues
- activer ou reconfigurer l'authentification à deux facteurs
- sous Applications autorisées, retirer tout ce qu'elle ne connaît pas
- vérifier comment c'est arrivé : un prétendu test de jeu, un QR code pour « se vérifier », un programme téléchargé
Si la personne ne peut plus accéder à son compte, seul le support Discord peut l'aider. Toutes les étapes sont dans le guide compte Discord piraté. Ne lui rends ses rôles d'équipe que lorsqu'elle contrôle à nouveau son compte en toute sécurité.
6. Évaluer les dégâts
Maintenant que plus personne ne détruit rien, fais le point. Note à partir des logs du serveur ce qui a été supprimé ou modifié : salons, rôles, permissions, bannissements, expulsions, emojis. Discord ne conserve les entrées des logs du serveur que 45 jours, alors fais tout de suite des captures d'écran si l'incident est important.
Lizbot t'aide à deux endroits :
- Incidents de Rewind : dans le tableau de bord, sous Modération, onglet Rewind, chaque incident apparaît avec un résumé, par exemple « 8 salons supprimés, 3 rôles supprimés, 14 bannissements ». Chaque incident contient un instantané de ce que le compte a supprimé ou modifié.
- Logs : si les logs étaient actifs, tu retrouves dans tes salons de logs les salons et rôles supprimés ou modifiés, les changements de rôles des membres, les bannissements, les expulsions et les suppressions de messages en masse. Avec l'offre Free, les logs restent 14 jours dans le tableau de bord, 90 jours avec Pro et 365 jours avec Studio.
Vérifie aussi le Journal d'audit de Lizbot dans le tableau de bord. Chaque modification des paramètres de Lizbot y figure, y compris si l'attaquant a par exemple désactivé l'AutoMod ou changé un salon de logs.
7. Annuler l'incident avec Rewind (Pro)
Rewind est le chemin le plus rapide pour revenir en arrière, s'il était activé avant l'attaque. Sous l'alerte dans Discord et pour chaque incident dans le tableau de bord, tu trouves Annuler. Lizbot recrée alors à l'identique les salons et rôles supprimés, avec leurs permissions et au plus près de leur ancienne position, annule les changements de permissions et rend les rôles retirés. Si tu le souhaites, Lizbot supprime aussi les salons, rôles et webhooks créés pendant l'incident.
Lizbot ne lève les bannissements que si tu le demandes explicitement : dans Discord avec Annuler et débannir, dans le tableau de bord avec l'option Débannir les utilisateurs bannis. S'il manque un détail à un incident, Lizbot comble le trou avec la dernière sauvegarde ou, à partir de Pro, avec les Instantanés de structure que Lizbot prend chaque jour avec Pro et toutes les 6 heures avec Studio.
Ce que même Rewind ne peut pas faire : les messages des salons supprimés sont perdus côté Discord et ne reviennent que si une sauvegarde les a enregistrés. Les membres expulsés doivent rejoindre à nouveau d'eux-mêmes. Les webhooks supprimés reçoivent de nouvelles URL, tu dois reconfigurer les services connectés. Lizbot ne rend pas automatiquement les rôles avec des permissions de staff.
La détection, la contre-mesure, l'alerte et la suspension des invitations sont incluses dans toutes les offres. L'annulation exacte est disponible à partir de Pro.
8. Restaurer avec une sauvegarde
Sans Pro ou si Rewind n'était pas activé, une sauvegarde t'aide. Dans le tableau de bord, ouvre Sauvegardes, choisis la dernière sauvegarde avant l'attaque et clique sur Restaurer. Dans Discord, ça marche avec /server backup restore.
Choisis le mode Manquants seulement (dans Discord manquant). Il recrée les rôles et salons supprimés et ne touche à rien de ce qui existe encore. Complète remet tout le serveur dans l'état de la sauvegarde. Ce mode est fait pour une reconstruction totale, pas pour réparer après un nuke.
Avant ça, remonte le rôle de Lizbot le plus haut possible dans la liste des rôles. Lizbot ne peut ni créer ni modifier les rôles placés au-dessus de son rôle le plus haut. Avec l'offre Free, tu peux enregistrer 2 sauvegardes, 10 avec Pro et 50 avec Studio. À partir de Pro, Lizbot sauvegarde automatiquement, et avec Studio il peut aussi sauvegarder les messages. Tous les détails sont dans le guide Sauvegarder un serveur Discord.
S'il n'y a aucune sauvegarde, il ne reste que la reconstruction à la main. Un modèle de serveur peut te fournir une structure de base toute prête que tu adaptes.
Si tu n'as pas de sauvegarde, le guide Restaurer un salon ou un rôle supprimé explique ce qui peut encore être sauvé.
9. Vérifier et lever les bannissements
Un nuke vise souvent les membres actifs et l'équipe. Dans les paramètres du serveur, ouvre la liste des Bannissements et compare-la aux logs du serveur. Tout ce que l'attaquant a banni, tu devrais le débannir.
S'il y a beaucoup de bannissements, utilise l'Action de masse de Lizbot : dans le tableau de bord, sous Dossiers, choisis l'action Débannir, colle jusqu'à 200 ID utilisateur, un par ligne ou séparés par des virgules, indique une raison comme « Nuke du 24/10 » et confirme avec le mot « DÉBANNIR ». Pour copier les ID utilisateur dans Discord, active le Mode développeur dans les paramètres, sous Avancés, comme l'explique pas à pas le guide pour copier des ID Discord.
À l'inverse, l'action de masse avec Bannir sert pour les comptes qui ont rejoint pendant l'attaque et participé au spam. Chaque entrée est enregistrée comme un dossier à part avec sa raison. Débannir quelqu'un ne le fait pas revenir automatiquement, car un bot ne peut inviter personne. Envoie ensuite un nouveau lien d'invitation aux personnes concernées.
Le guide Débannir quelqu'un sur Discord montre comment retrouver les membres bannis dans la liste des bans et les débannir, aussi sur mobile.
Le silence inquiète. Dès que le serveur est de nouveau debout, poste un message court et factuel dans un salon d'annonces :
- ce qui s'est passé, sans détails qui guideraient des imitateurs
- que le serveur est de nouveau sûr et ce que vous avez restauré
- que personne ne doit cliquer sur des liens datant de l'attaque, si des messages d'arnaque ont été envoyés
- que les personnes bannies ont été débannies et comment elles peuvent revenir
Si l'attaquant a envoyé depuis le compte piraté des MP avec des liens d'arnaque à des membres, cet avertissement est particulièrement important. Signale à Discord les messages d'arnaque restants.
Les leçons de l'incident
Un piratage est rageant, mais il montre exactement où ton serveur était vulnérable. Ces points comblent la plupart des failles :
- Donner les permissions avec parcimonie : Administrateur pour une ou deux personnes seulement. Les modérateurs ont besoin de bannir, d'expulser et d'exclure temporairement, mais pas de « Gérer les rôles » ni de « Gérer le serveur ». Le guide Configurer les rôles Discord montre à quoi ressemble une structure sûre.
- A2F obligatoire pour la modération : Discord peut exiger que toutes les personnes avec des permissions de modération aient activé l'A2F. Un guide dédié explique comment activer l'A2F obligatoire pour la modération.
- Activer Rewind : il est désactivé par défaut. Choisis une Sensibilité (Stricte, Normale ou Souple), une Riposte contre le compte et un Salon d'alerte. Active Alerter aussi pour le propriétaire du serveur, au cas où ton propre compte serait un jour piraté. Le fonctionnement détaillé de cette protection est expliqué dans le guide sur la protection anti-nuke.
- Sauvegardes régulières : crée au moins une sauvegarde avant chaque refonte, automatiquement à partir de Pro.
- Vérifier les bots : ne donne aux bots que les permissions dont ils ont besoin, et ajoute les bots qui font régulièrement le ménage dans ID utilisateur autorisés, pour que Rewind ne les prenne pas pour des attaquants.
- Former l'équipe : quand on sait à quoi ressemblent les faux tests de jeux, les connexions par QR code et les cadeaux Nitro, on clique moins souvent dessus. Des conseils pour ton équipe sont dans le guide sur l'équipe de modération.
Checklist
- compte responsable trouvé et privé de ses permissions
- bots et webhooks inconnus retirés
- invitations supprimées ou suspendues, serveur confiné si besoin
- compte piraté avec nouveau mot de passe, A2F et appareils déconnectés
- dégâts notés à partir des logs du serveur, des incidents et des logs Lizbot
- salons et rôles récupérés avec Rewind ou une sauvegarde
- bannissements injustifiés levés
- membres informés
- Rewind activé, sauvegarde à jour
Erreurs fréquentes
- Reconstruire tout de suite : tant que l'attaquant a des permissions, il supprime tout à nouveau. D'abord stopper, ensuite nettoyer.
- Rendre les rôles trop tôt : si un membre de l'équipe récupère ses rôles avant que son compte soit sécurisé, l'attaque recommence.
- Complète au lieu de Manquants seulement : le mode Complète supprime d'abord les salons et les rôles. Après un nuke, Manquants seulement suffit presque toujours.
- Rôle de Lizbot trop bas : Lizbot ne peut alors ni intervenir ni restaurer des rôles. Le rôle doit être placé tout en haut.
- Oublier des bots inconnus : un bot resté sur le serveur avec la permission Administrateur rend le serveur de nouveau vulnérable tout de suite.
- Créer une sauvegarde seulement après l'attaque : elle n'enregistre alors que l'état détruit.
