OpenCode Console piratée : 1,4 % des utilisateurs touchés

Concerné ?

Vous pouvez être concerné si vous avez enregistré une clé API OpenAI ou Anthropic dans OpenCode Console.

L’éditeur dit avoir averti individuellement les personnes concernées. Les clés conservées uniquement dans l’application locale ne seraient pas affectées, selon OpenCode : la Console est un service distinct.

Comment on le sait

OpenCode a reconnu une intrusion dans sa Console le 17 octobre 2026. Clubic rapporte le 19 octobre que l’incident concerne 1,4 % des utilisateurs de ce service. Des clés API enregistrées dans leurs espaces de travail pourraient avoir été compromises.

Ce qu’on ne sait pas : Le nombre de comptes et de clés potentiellement exposés n’est pas connu. OpenCode n’a pas confirmé que ces clés ont servi aux requêtes suspectes signalées par des utilisateurs.

Le risque

Une clé utilisée sans l’accord de son propriétaire peut générer des requêtes facturées sur son compte.

Plusieurs utilisateurs signalent des dépenses suspectes ; les montants rapportés sont des témoignages, pas un bilan vérifié. Effacer une clé de la Console ne la révoque pas auprès du fournisseur qui l’a émise.

Le contexte

• L’intrusion a touché un ancien système qu’OpenCode était en train de mettre hors service, d’après un courriel de l’éditeur rapporté par Frandroid le 18 octobre 2026.
• Des clés API Google figurent aussi parmi celles potentiellement exposées dans OpenCode Console, selon Frandroid le 18 octobre 2026.
• Un utilisateur dit avoir constaté 355 euros de frais non autorisés sur son compte Anthropic, rapporte Frandroid le 18 octobre 2026. Ce montant est un témoignage, pas un bilan vérifié.
• En février 2026, OpenCode avait retiré la prise en charge des accès Claude Pro et Max après une demande d’Anthropic, d’après Clubic le 22 février 2026. Il s’agissait d’un changement de connexion, pas d’un précédent piratage.

Quoi faire maintenant

Si vous avez reçu l’alerte d’OpenCode, commencez par révoquer la clé chez son fournisseur.

1. Révoquez l’ancienne clé auprès d’OpenAI ou d’Anthropic, selon le fournisseur concerné. La supprimer seulement d’OpenCode Console ne suffit pas.
2. Générez une nouvelle clé auprès de ce fournisseur.
3. Consultez votre historique de consommation chez le fournisseur pour repérer d’éventuelles requêtes ou dépenses suspectes.