В результате нарушения безопасности был скомпрометирован бот защиты Discord Double Counter, что привело к утечке примерно 1 миллиона адресов электронной почты

Утечка данных в Double Counter, инструменте, разработанном для защиты серверов Discord от несанкционированного доступа и фальшивых аккаунтов, скомпрометировала почти миллион адресов электронной почты, а также Discord ID и IP-данные миллионов пользователей.

Согласно отчету расследования компании (цитируемому RPS), намеренная и сложная атака произошла 4 октября. Нападающие использовали уязвимость в сервере старого аналитического инструмента, чтобы получить учетные данные облака, поддерживая доступ почти шесть часов.

Компания раскрыла, что информация, включая Discord ID и имена пользователей примерно 28 миллионов человек, а также IP-адреса и данные о местоположении около 27 миллионов, предположительно скомпрометирована.

Согласно данным Have I Been Pwned, 274,900 электронных писем и имен пользователей Discord были опубликованы в открытом доступе. Данные, относящиеся к платным подписчикам, также содержали имена, страны и почтовые индексы.

В результате утечки был украден токен бота, который хакеры использовали для распространения вредоносных ссылок в 50 крупных сообществах Discord, а также подсчитано $7,316 незаконных расходов на отдельный счет.

Double Counter заблокировала скомпрометированные учетные данные, изменила меры безопасности и перенесла базы данных на защищенные сети. Сервисы были восстановлены 4 октября, с уведомлением CNIL Франции на следующий день.

Каких-либо действий для пользователей Discord не требуется, но менеджерам серверов рекомендуется удалить любые подозрительные сообщения от Double Counter, датированные 4 октября.

Этот инцидент произошел на фоне усилий Discord по реструктуризации процедур проверки возраста. Первоначально объявленное в марте начало обязательной проверки было отложено до конца 2026 года из-за проблем с конфиденциальностью.

Станислав Вишневский, соучредитель и технический директор Discord, признал, что компания могла бы предоставить больше ясности о своих намерениях и процессах. Компания возобновила проверку только после внедрения новых методов, не требующих селфи с видео или проверки удостоверений личности.