BodySwap, service en ligne de génération d’images et de vidéos par intelligence artificielle proposant notamment des fonctions d’échange de visages, de retrait de vêtements et de création de contenus pour adultes, fait l’objet d’une revendication de fuite de données.
Un acteur utilisant le pseudonyme MrData affirme avoir récupéré puis mis en ligne la base de données du service. L’analyse du fichier diffusé fait apparaître 10 309 comptes utilisateurs, avec des données allant bien au-delà d’une simple liste d’adresses email.
Les informations exposées peuvent notamment associer un utilisateur à son pseudonyme, son adresse email, son mot de passe haché, ses adresses IP de connexion et, selon les comptes, au type de générations demandées sur la plateforme. Dans le contexte d’un service destiné notamment à produire des contenus pour adultes, ce dernier élément rend la fuite particulièrement sensible.
Une base arrêtée au 3 août 2026
La revendication a été publiée le 14 octobre 2026. Le fichier présenté comme provenant de BodySwap correspondrait à un export de la base arrêté au 3 août 2026.
Les premiers comptes présents remontent à septembre 2025. La base couvrirait donc environ onze mois d’activité du service.
Le hacker évoque publiquement environ 10 000 lignes. L’analyse du dépôt permet d’être plus précis avec 10 309 utilisateurs concernés.
Emails, mots de passe hachés et adresses IP
Les comptes exposés contiennent notamment les identifiants utilisateurs, pseudonymes et adresses email.
Des valeurs correspondant aux mots de passe figurent également dans la base, mais ceux-ci sont hachés et ne sont donc pas directement lisibles en clair.
Le fichier contient également, pour la majorité des utilisateurs, des adresses IP de connexion. Ces informations peuvent notamment permettre de rapprocher plusieurs sessions ou de donner une indication sur la localisation approximative utilisée lors de la connexion.
Le type de contenu généré apparaît dans la base
C’est probablement l’information la plus sensible de cette revendication.
BodySwap se présente comme un service de génération d’images et de vidéos par intelligence artificielle proposant des usages pouvant inclure des contenus pour adultes, du face swap ou des fonctions permettant de modifier les vêtements d’une personne sur une photographie.
La base ne contient pas seulement les comptes : elle conserve également des informations permettant de connaître le type de générations demandées par certains utilisateurs.
Il ne faut toutefois pas aller plus loin que ce que montrent les données : aucune image générée par les utilisateurs n’apparaît dans le dépôt analysé. La fuite permet potentiellement de connaître une catégorie d’usage, mais pas de consulter directement les créations réalisées.
Près de 800 clients avec leur historique d’achat
La majorité des 10 309 comptes ne semble pas avoir effectué d’achat. En revanche, près de 800 utilisateurs payants apparaissent avec des informations supplémentaires.
Pour ces clients, la base peut contenir le nom complet ainsi que l’historique des achats de crédits effectués sur le service, avec les montants associés.
Aucune donnée de carte bancaire n’apparaît cependant dans le dépôt. Les numéros de carte, cryptogrammes et autres informations bancaires permettant directement d’effectuer un paiement ne font pas partie des données observées.
Des clés liées aux services de paiement apparaissent aussi
Le dépôt contient également des clés d’accès ou clés d’API associées à des services utilisés par l’éditeur, notamment dans son environnement de paiement.
Leur simple présence ne permet pas d’affirmer qu’elles sont encore valides ou qu’elles offrent un accès permettant d’effectuer des opérations financières. Elles constituent néanmoins des éléments techniques qui n’ont normalement pas vocation à être diffusés publiquement.
Pas d’images des utilisateurs dans la fuite
Compte tenu de la nature du service, il est important de préciser ce que la fuite ne contient pas.
Aucune image produite ou envoyée par les utilisateurs n’apparaît dans le dépôt analysé. Rien ne permet donc d’affirmer que les photographies utilisées pour générer les contenus ou les créations finales ont été récupérées par le hacker.
La sensibilité de la fuite vient surtout du rapprochement entre l’identité numérique d’un utilisateur et son activité sur une plateforme proposant des usages pour adultes.
Un risque de chantage et de phishing particulièrement élevé
Dans ce contexte, les conséquences potentielles vont bien au-delà du spam classique.
Un attaquant disposant d’une adresse email, d’une adresse IP et d’informations sur les usages du compte pourrait tenter de faire croire à sa victime qu’il possède également ses créations ou les photos qu’elle a envoyées au service.
Ce scénario pourrait servir à des tentatives de chantage ou de sextorsion, y compris lorsque le hacker ne possède en réalité aucune image. La connaissance du nom de la plateforme et du type d’activité suffit parfois à rendre une menace beaucoup plus crédible.
Les utilisateurs payants peuvent également être ciblés par de faux messages concernant un paiement refusé, un renouvellement de crédits ou une prétendue vérification de compte.
Les mots de passe réutilisés représentent un risque supplémentaire
Les mots de passe présents dans la base sont protégés par une empreinte, mais cela ne signifie pas qu’ils sont sans intérêt pour un attaquant.
Selon l’algorithme utilisé et la robustesse du mot de passe choisi, certaines empreintes peuvent faire l’objet de tentatives de cassage. Les utilisateurs ayant réutilisé le même mot de passe sur leur messagerie ou d’autres services seraient alors particulièrement exposés.
La méthode utilisée pour récupérer la base reste inconnue
MrData ne fournit pas d’explication technique permettant de comprendre comment la base aurait été obtenue.
Il est donc impossible de déterminer à ce stade si l’incident provient d’une faille applicative, d’un serveur mal sécurisé, d’identifiants compromis, d’une sauvegarde accessible ou d’un autre type d’intrusion.
La présence simultanée des comptes utilisateurs, des informations de paiement et de plusieurs éléments de configuration laisse toutefois penser à une extraction plus large qu’un simple scraping des pages publiques du service.
Une revendication qui reste à confirmer par BodySwap
À ce stade, BodySwap n’a pas publiquement confirmé cette revendication de fuite de données.
Le dépôt attribué au service contient néanmoins les données de 10 309 comptes et une photographie de la base arrêtée au 3 août 2026. Près de 800 utilisateurs payants y apparaissent avec des informations supplémentaires liées à leurs achats.
La fuite ne contient ni cartes bancaires ni images produites par les utilisateurs. Elle reste pourtant particulièrement sensible : dans le cas d’un service proposant des générations à caractère adulte, associer une adresse email, une IP et un historique d’utilisation suffit déjà à créer un risque important pour la vie privée.