Dialog piraté : les données des personnalités les plus influentes au monde ont fuité

Dialog piraté : les données des personnalités les plus influentes au monde ont fuité

En juin 2026, une fuite a ouvert une fenêtre inattendue sur Dialog, un réseau privé où se croisent dirigeants politiques, milliardaires de la technologie, hauts fonctionnaires, militaires, universitaires, investisseurs et autres personnalités influentes. Le service se présente comme un espace extrêmement exclusif, conçu pour permettre à ses membres de nouer des relations et de discuter à huis clos. Les informations concernant son fonctionnement et ses participants étaient censées rester confidentielles.

Pourtant, une erreur de développement d’une simplicité désarmante a exposé un vaste ensemble de données : identités, adresses électroniques personnelles, coordonnées d’assistants, adresses postales, numéros de téléphone, préférences alimentaires, recommandations de livres, réponses politiques, informations de participation et même statut sentimental. Certaines fiches indiquaient qui recherchait une relation et qui préférait rester en dehors du dispositif de mise en relation.

Le plus étonnant est que la découverte n’a exigé ni intrusion sophistiquée, ni logiciel malveillant, ni opération clandestine. Il suffisait, pour une partie des informations, d’ouvrir les outils de développement du navigateur. Une touche, F12, donnait accès à ce que Dialog avait lui-même envoyé à chaque visiteur.

Cette histoire révèle le fonctionnement d’un cercle longtemps resté opaque. Elle montre surtout que le niveau social, financier ou politique des personnes concernées ne protège pas contre les erreurs élémentaires de cybersécurité.

Un club auquel on n’entre que sur invitation

Dialog reste peu connu du grand public parce qu’il ne cherche pas à attirer un public. Son site explique qu’il s’agit d’une communauté accessible uniquement sur invitation. Pour espérer y entrer, il faut avoir accompli quelque chose d’exceptionnel et être recommandé par un participant. La formule affichée sur sa page d’accueil résume son positionnement : des dirigeants rejoignent Dialog pour discuter de sujets qui ne doivent pas être attribués publiquement.

Le réseau existe depuis 2006. Il a été cofondé par Peter Thiel, cofondateur de PayPal et de Palantir, et par l’entrepreneur Auren Hoffman. Ce dernier a lui aussi développé des entreprises liées à la collecte, à la résolution d’identité et à l’analyse de données issues notamment des appareils mobiles. Dialog a été pensé comme un club fermé réunissant de hauts responsables et des dirigeants d’entreprise du monde entier.

Au fil des années, ses rencontres ont accueilli ou invité des sénateurs, des universitaires, des investisseurs, des représentants de grands fonds et de groupes de réflexion, ainsi que certaines personnalités du cinéma. Les acteurs n’y déterminent pas directement les politiques publiques, mais ils servent souvent de visages à des initiatives nationales, humanitaires ou mondiales. Pour un réseau fondé sur l’influence et les relations, leur présence a donc une valeur évidente.

Pendant près de vingt ans, Dialog a conservé une empreinte publique minuscule. Son influence réelle ne pouvait être qu’estimée à partir de fragments parus dans la presse et de récits anonymes d’anciens participants. La majorité des citoyens ne cherchait même pas à l’évaluer, faute de connaître l’existence de l’organisation.

Le programme du rendez-vous irlandais

La fuite de juin a révélé les préparatifs d’une retraite organisée pour août 2026 près de Dublin. Les activités de détente prévoyaient notamment des visites privées de distilleries, un passage par la cathédrale Saint-Patrick, une découverte de Guinness, ainsi que plusieurs activités organisées dans la campagne irlandaise. Le contraste entre la puissance supposée des invités et le caractère très classique de ce programme ne manque pas d’ironie.

Les sessions de travail étaient plus instructives. Le programme comportait des discussions dont les titres peuvent être traduits par « Ramener le nucléaire », « Naviguer dans la Troisième Guerre mondiale », « Technologies sur le champ de bataille », « Désinformation et deepfakes » ou encore « Trois prévisions pour l’Iran ». Une session consacrée à la démocratie sous surveillance prenait un relief particulier dans un réseau cofondé par des acteurs étroitement liés à l’industrie mondiale de la donnée et de la surveillance.

D’autres intitulés semblaient sortir d’une table ronde de méchants de cinéma : « Comment va votre vie sexuelle ? », « L’argent peut-il acheter le bonheur ? », « Construire une secte » et « Construire un parti ». Les documents ne permettent pas de reconstituer ce qui devait être dit pendant ces échanges, ni de déterminer la position exacte des personnes invitées.

Après la révélation de la fuite et la polémique qui a suivi en Irlande, le rassemblement prévu du 12 au 16 août au Powerscourt Hotel a été annulé par l’établissement. Une invitation ou une présence dans les fichiers ne prouve d’ailleurs pas qu’une personne s’est rendue à une rencontre, qu’elle partage les idées d’un fondateur ou qu’elle est encore membre du réseau.

Une liste où se rencontrent pouvoir, technologie et finance

Les fichiers divulgués contenaient plus de deux cents noms liés à la retraite de 2026, tandis qu’un répertoire plus large rassemblait des membres, d’anciens participants, des intervenants et des invités. On y trouvait de hauts responsables saoudiens, d’anciens ministres, des dirigeants de la finance, des responsables militaires, des sénateurs américains des deux partis et plusieurs figures de la Silicon Valley.

Parmi les noms cités figuraient Elon Musk, lié de longue date à Peter Thiel par l’histoire de PayPal, Jonathan Levin, président de l’université Stanford, le neuroscientifique Sam Harris, la haute représentante de l’Union européenne Kaja Kallas, l’entrepreneur Bryan Johnson, connu pour ses expériences sur la longévité, et le journaliste Ezra Klein.

La liste comprenait également Sarah Bond, présidente de Xbox, Strauss Zelnick, dirigeant de Take-Two Interactive, Jason Kwon, responsable de la stratégie chez OpenAI, l’ancien premier ministre pakistanais Shahid Khaqan Abbasi et l’ancien ministre japonais du numérique Taro Kono. Garry Kasparov y apparaissait comme champion du monde d’échecs et ancien membre du Conseil de coordination de l’opposition russe.

Ces noms doivent être interprétés avec prudence. Les fichiers mélangeaient différentes catégories et périodes. Certaines personnes ont expliqué après la fuite qu’elles n’avaient participé qu’à une ancienne rencontre, qu’elles avaient été invitées sans accepter ou qu’elles ignoraient pourquoi leur nom figurait dans le répertoire. Même avec cette réserve, l’ensemble donne un aperçu rare d’un réseau où se croisent pouvoir public, finance, renseignement, industrie technologique et production d’idées.

Un « piratage » qui tenait en une touche

La découverte a été rendue publique par maia arson crimew, hacktiviste et chercheuse en sécurité suisse. Elle s’était auparavant fait connaître par son implication dans le groupe Arson Cats et par l’affaire Verkada de 2021, au cours de laquelle l’accès à environ 150 000 caméras de surveillance avait été exposé, notamment dans une usine Tesla et une prison de l’Alabama. Cette opération cherchait à montrer l’étendue de la surveillance déployée par les entreprises technologiques.

Dans l’affaire Dialog, deux sources anonymes ont orienté les recherches. La première explorait les archives relatives à Jeffrey Epstein publiées par le ministère américain de la Justice. Elle y a remarqué qu’une invitation de Dialog destinée à un autre intervenant lui avait été transférée en 2012. Un autre échange, daté de 2016, faisait allusion à l’échec de Peter Thiel à créer une société secrète. Ces documents suggéraient une connaissance au moins indirecte de Dialog, sans permettre d’établir si Epstein en avait été membre.

La seconde source a conseillé d’examiner le site consacré à la retraite irlandaise. C’est là que l’histoire devient presque absurde : une partie des données n’avait pas besoin d’être piratée. Elle était déjà accessible sur les propres services de Dialog, sans protection adéquate.

Une page web ne contient pas seulement ce que l’écran affiche. Le navigateur reçoit du HTML, des scripts, des feuilles de style et souvent des objets de données utilisés pour construire l’interface. Masquer visuellement un élément ne l’empêche pas d’être transmis. Lorsqu’une donnée confidentielle arrive dans le navigateur, elle doit être considérée comme accessible à l’utilisateur, même si aucun bouton ne l’affiche.

En ouvrant les outils de développement, disponibles avec F12 dans la plupart des navigateurs, maia arson crimew a retrouvé dans le code de la page un répertoire de participants. Le site paraissait presque vide, mais son code embarquait des informations que l’organisation avait toujours refusé de publier. Une version contenant ce répertoire avait même été copiée par un service d’archivage du web avant d’en être retirée.

Consulter le code livré par un serveur ne constitue pas, en soi, le contournement d’une protection. Le navigateur a besoin de ce code pour afficher la page. La faute essentielle consiste à avoir envoyé au client des données qui n’auraient jamais dû quitter un environnement authentifié et autorisé.

Une inscription sans mot de passe et des fiches ouvertes

L’examen du second site, celui qui servait à l’inscription au rassemblement de Dublin, a révélé une autre faiblesse. Il était possible d’entrer avec pratiquement n’importe quelle adresse électronique, sans mot de passe. Une fois connecté, l’utilisateur pouvait consulter les fiches des autres invités.

Les formulaires étaient remplis au moyen du service Fillout, puis enregistrés dans une base Airtable. Les données comprenaient des informations privées et des jetons d’accès personnalisés pouvant fonctionner comme des identifiants. L’ironie est forte : le fondateur et directeur général d’Airtable figurait lui-même parmi les personnes invitées à la retraite.

La situation est spectaculaire par la qualité des personnes concernées et par le caractère secret de Dialog. Techniquement, elle reste pourtant très ordinaire. Beaucoup de services sont assemblés rapidement à partir d’outils tiers, de formulaires prêts à l’emploi et de bases en ligne. Lorsqu’ils vieillissent depuis des années sans véritable modèle d’autorisation, des erreurs élémentaires finissent par exposer des volumes considérables de données.

Le même défaut, encore et encore

Laisser une base de données sans mot de passe ou afficher les objets d’autres utilisateurs sans vérifier leurs droits fait partie des erreurs les plus courantes. Une application de rencontres et de discussions autour des relations amoureuses a ainsi exposé des profils, des messages, des documents et des photographies de dizaines de milliers d’utilisatrices parce qu’une base administrative était directement accessible depuis Internet.

Le site BeautifulPeople.com avait connu une fuite comparable en 2015 : une base insuffisamment protégée pouvait être consultée par toute personne qui en trouvait l’adresse. En octobre 2025, des conversations provenant du service de compagnes virtuelles MyLovelyAI ont été exposées à travers une infrastructure de messagerie Kafka accessible sans contrôle suffisant.

Au début de 2026, le jouet connecté Bondu, un petit dinosaure utilisant un agent conversationnel, a illustré une autre variante du problème. Les conversations des enfants étaient transférées dans le cloud afin que leurs parents puissent les consulter. Or le portail ne vérifiait pas correctement si le compte connecté avait le droit d’accéder à une conversation donnée. Un utilisateur pouvait ainsi atteindre les échanges d’autres familles.

Dialog a reproduit ces erreurs à un niveau particulièrement sensible. Le site de présentation et le formulaire d’un événement étaient probablement considérés comme des fonctions secondaires. Ils ont pu être confiés à une petite équipe, développés rapidement et reliés à des services externes sans revue de sécurité approfondie. Cette explication est banale : le facteur humain suffit. Ses conséquences, elles, ne le sont pas.

Ce que les fichiers disaient vraiment du réseau

La fuite ne concernait pas seulement des préférences alimentaires, des livres favoris ou des réponses amusantes à un formulaire. Elle révélait aussi la structure interne de l’organisation.

Dialog attribuait aux membres et aux invités des notes liées à leur notoriété, leur richesse et leur utilité pour le réseau. Les dossiers comportaient des catégories et un score de « valeur ajoutée ». Les personnes jugées moins influentes, moins connues ou moins adaptées à la culture du groupe pouvaient cesser de recevoir des invitations. Les évaluations servaient aussi à déterminer les places à table, les personnes à mettre en relation et, dans certains cas, le prix demandé pour participer.

Les fichiers exposaient en outre un système de mise en relation professionnelle et sentimentale. Les correspondances proposées, qu’elles soient destinées au réseautage ou aux rencontres, restaient attachées aux profils. En combinant ces informations, il devenait possible de reconstruire un graphe social : qui connaît qui, qui doit être présenté à qui, quelles relations sont évitées et qui peut exercer une influence sur une autre personne.

Un tel ensemble intéresse naturellement les services de renseignement, les concurrents économiques déloyaux, les groupes criminels et les auteurs d’attaques ciblées. La présence de dirigeants d’entreprise serait déjà sensible. Celle de responsables militaires, de généraux et de fonctionnaires proches de la sécurité nationale transforme le suivi détaillé de leurs interactions en risque stratégique.

Une matière première idéale pour le phishing ciblé

Toute information personnelle concernant une personnalité influente peut être utilisée pour préparer une attaque. Une adresse privée, le nom d’un assistant, une date de voyage, une allergie, un livre récemment recommandé ou une mise en relation attendue donnent à un message frauduleux une crédibilité inhabituelle.

Un attaquant n’a plus besoin d’envoyer un courriel générique. Il peut se faire passer pour l’organisateur d’une session, reprendre le nom exact d’un participant, évoquer une activité prévue et demander d’ouvrir un document ou de confirmer une fiche. Plus le contexte est précis, plus la victime risque de considérer la demande comme légitime.

La fuite facilite également les attaques contre l’entourage. Les assistants, équipes de communication, chauffeurs, prestataires et proches disposent parfois d’un accès indirect aux agendas et aux documents de la personne visée. Leur sécurité peut être moins robuste, alors que leurs informations permettent de franchir une première étape vers la cible principale.

Le risque ne se limite donc pas aux personnes dont les coordonnées ont été exposées. Un graphe de relations permet d’identifier les intermédiaires, les points de confiance et les canaux les plus prometteurs. Pour des services de renseignement ou des groupes criminels organisés, cette cartographie peut valoir davantage qu’une liste de mots de passe.

Le navigateur ne doit recevoir que ce qu’il peut montrer

La première leçon est technique et fondamentale : cacher une donnée dans l’interface ne constitue jamais un contrôle d’accès. Les autorisations doivent être vérifiées côté serveur, pour chaque objet demandé et pour chaque utilisateur. Le serveur doit renvoyer uniquement les enregistrements que la personne authentifiée a le droit de consulter.

Une application doit aussi séparer ses environnements publics, ses formulaires d’événement, son annuaire privé et ses outils administratifs. Chaque intégration avec un service tiers doit être évaluée : quelles données sont transmises, où sont-elles stockées, quels liens donnent accès aux fiches, combien de temps restent-ils valables et que se passe-t-il si quelqu’un les copie ?

Les jetons placés dans des URL doivent être courts, révocables et limités à une action précise. L’authentification sans mot de passe peut être sûre lorsqu’elle repose sur un lien unique, expirant rapidement et envoyé à une adresse préalablement vérifiée. Accepter une adresse quelconque puis ouvrir l’ensemble d’un répertoire n’est pas une simplification de connexion : c’est une absence d’autorisation.

Enfin, les pages publiques et les formulaires temporaires méritent la même revue que le produit principal. Une organisation peut investir massivement dans la sécurité de sa plateforme centrale et perdre malgré tout ses données par un microsite créé pour un seul événement.

Préparer la fuite avant qu’elle n’arrive

Toute information secrète peut un jour devenir publique. Lorsqu’une organisation détient des données confidentielles, elle doit les protéger, mais aussi décider à l’avance comment réagir si la protection échoue. Aucun dispositif ne garantit un risque nul.

Un plan de réponse doit prévoir l’identification des données touchées, la révocation immédiate des jetons, l’information des personnes concernées, la conservation des preuves, l’analyse des accès et la surveillance des campagnes de phishing qui pourraient exploiter la fuite. Les équipes doivent savoir qui prend la décision, qui communique et qui protège les comptes les plus exposés.

La seconde leçon concerne le facteur humain. Le maillon le plus fragile d’un système de sécurité peut être un utilisateur, un développeur, un administrateur ou une personne chargée de valider une mise en production. Cette réalité vaut pour le téléphone d’un particulier comme pour un réseau fréquenté par les personnes les plus puissantes du monde.

La sécurité ne dépend donc pas du prestige de l’organisation. Elle dépend de pratiques concrètes : limiter les données collectées, vérifier chaque autorisation côté serveur, tester les applications comme le ferait un utilisateur externe, revoir les intégrations, surveiller les expositions et préparer la réponse à incident. Dialog voulait offrir à ses membres un espace où tout resterait confidentiel. Une page presque vide et un formulaire mal protégé ont suffi à démontrer le contraire.