🔍 Contexte

Publié le 9 juillet 2026 par Henk van Ess sur Digital Digging (Substack), cet article de recherche investigative documente l’exposition massive de conversations privées sur six plateformes de chatbots IA, indexées par Archive.org.

📊 Ampleur du phénomène

Digital Digging a identifié 264 078 conversations partagées au total sur six plateformes, dont 96 477 pour la seule année 2026 :

  • ChatGPT (OpenAI)
  • Claude (Anthropic)
  • Gemini (Google)
  • Grok (xAI)
  • Copilot (Microsoft)
  • DeepSeek

Les informations les plus identifiables ont été trouvées dans cet ordre : Gemini, Claude, Copilot, puis ChatGPT.

⚠️ Mécanisme d’exposition

Le problème ne résulte d’aucun piratage : les utilisateurs cliquent sur le bouton “Partager” en croyant envoyer un lien privé à une personne, mais créent en réalité une page web publique accessible à quiconque possède l’URL. Archive.org indexe ces URLs, transformant des needles en liste consultable.

Les URLs partagées sont des chaînes aléatoires longues (ex: claude.ai/share/[chaîne]), non devinables, mais une fois indexées par Archive.org, elles deviennent listables.

🗂️ Types de données exposées

  • Noms complets, numéros de téléphone, adresses personnelles, numéros d’identité nationale
  • Lettres de retraite avec coordonnées complètes
  • Historiques de visa et demandes de résidence permanente
  • Formulaires administratifs avec données personnelles
  • Conversations intimes et personnelles

🛠️ Méthode d’investigation

Les données ont été extraites des pages live (non des copies Archive.org, souvent vides). Chaque plateforme nécessitait une approche différente. Claude présentait la résistance la plus forte via un bot-check, contourné en utilisant un navigateur réel avec le badge robot supprimé.

📰 Nature de l’article

Article de recherche investigative documentant une fuite de données massive par conception (privacy by design défaillante), s’appuyant sur une base de données propriétaire et des extractions techniques directes depuis les plateformes concernées.

🧠 TTPs et IOCs détectés

TTP

  • T1213 — Data from Information Repositories (Collection)

🔴 Indice de vérification factuelle : 33/100 (basse)

  • ⬜ digitaldigging.org — source non référencée (0pts)
  • ✅ 6965 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 1 TTP(s) MITRE (8pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.digitaldigging.org/p/96477-private-chats-went-public-in?utm_source=substack&utm_medium=email