- En tredjeparts kundesupportudbyder blev hacket, hvilket eksponerede omkring 70,000 brugeres ID-fotos verden over.
- Eksponerede data kan omfatte navne, brugernavne, e-mails, IP-adresser og de sidste fire cifre i betalingskort; der blev ikke taget adgangskoder eller fulde kortnumre.
- Discord kontaktede berørte brugere, sikrede systemerne, afsluttede samarbejdet med leverandøren og samarbejder med retshåndhævende myndigheder og databeskyttelsesmyndigheder.
- Påstande om en 1.5 TB cache knyttet til aldersbekræftelse blev ifølge en talsmand anset for at være unøjagtige og forbundet med et afpresningsforsøg.
Discord har bekræftet en sikkerhedshændelse, der involverede en kompromitteret tredjeparts kundesupportudbyder, hvilket resulterede i eksponering af ID-dokumentfotos for omkring 70,000 brugere verden over. Selvom virksomheden understreger, at dens kernesystemer ikke blev direkte tilgået, påvirkede bruddet en leverandør, der hjælper med at gennemgå aldersrelaterede appeller på platformen.
Ifølge en talsperson for virksomheden har hændelsen udløst en undersøgelse og en koordineret indsats. Offentlig snak om en massiv datamængde på 1.5 TB er blevet behandlet: disse tal er unøjagtig og knyttet til et afpresningsforsøg, og Discord siger, at de ikke har til hensigt at belønne ulovlig adfærd.
Hvad der skete, og hvordan bruddet opstod
Angrebet var rettet mod en ekstern udbyder, der bruges af Discord til kundesupport, herunder teams med fokus på tillid og sikkerhed. Denne leverandør indsamler billeder af officielle ID'er – såsom pas og kørekort—specifikt for at validere appeller vedrørende en brugers aldersstatus, en proces der lejlighedsvis kræver dokumentgennemgang.
Ved at kompromittere leverandøren fik angriberen adgang til visse optegnelser, der blev indsendt af brugere, der søgte hjælp. Discord indikerer, at deres egne systemer ikke blev direkte infiltreret, og at bruddet gik gennem tredjepartssystem snarere end Discords infrastruktur.
Hvilke oplysninger blev eksponeret
Discord angiver, at det eksponerede datasæt kan indeholde flere kategorier af personlige oplysninger. Det mest følsomme element er tilstedeværelsen af ID-dokumentfotos i forbindelse med aldersbekræftelse og relaterede appeller.
- Billeder af ID-dokumenter (til aldersbekræftelse og appeller)
- Navne og Discord-brugernavne
- E-mailadresser og IP-adresser
- De sidste fire cifre i betalingskortnumrene
Virksomheden tilføjer, at adgangskoder og fulde kortnumre blev ikke kompromitteretSom følge heraf behøver brugerne ikke at nulstille deres loginoplysninger udelukkende på grund af adgangskodeeksponering, selvom yderligere sikkerhedsforanstaltninger stadig anbefales.
Indvirkningens omfang
Discord har anslået det omtrentlige antal berørte konti til omkring 70,000 brugere globaltFiguren refererer specifikt til dem, hvis ID-dokumentfotos var inkluderet i leverandørens datasæt, som angriberen tilgik.
Selvom hændelsen er alvorlig, gentager Discord, at der var ingen direkte overtrædelse af dens primære systemer, og eksponeringen var begrænset til data behandlet af tredjepartsudbyderen til supportarbejdsgange.
Virksomhedens reaktion og igangværende handlinger
En talsperson bekræftede, at Discord har kontaktede alle berørte brugere og fortsætter med at koordinere med retshåndhævende myndigheder, databeskyttelsesmyndigheder og eksterne sikkerhedseksperter. Disse skridt har til formål at sikre inddæmning, underretninger og overholdelse af gældende regler.
Discord siger, at det har sikrede de berørte systemer og afsluttede sit forhold til den berørte leverandør. Virksomheden understregede, at den ikke vil yde nogen betaling eller fordel til dem, der står bag afpresningsforsøget, og understregede, at sådanne påstande både er ulovlige og misvisende.
Håndtering af misinformation om bruddet
Rapporter, der cirkulerer på sociale medier, påstod, at angriberne fik fat i ca. 1.5 TB aldersbekræftelsesfotosDiscords talsmand modbeviste disse påstande og bemærkede, at de er unøjagtige og er en del af en bredere indsats for at lægge pres på virksomheden.
Præciseringen blev delt for at rette op på journalen og mindske unødvendig panik. Ifølge talsmanden forbliver det verificerede omfang cirka 70,000 berørte brugere, ikke en cache på flere terabyte.
Hvad berørte brugere kan gøre nu
Selvom adgangskoder og fulde betalingskortnumre ikke blev afsløret, er der fornuftige skridt, som brugerne kan tage for at reducere risikoen. Disse foranstaltninger kan hjælpe med at håndtere potentielle konsekvenser. ID-foto og kontaktoplysninger eksponering.
- Aktivér multifaktorgodkendelse på din Discord-konto (hvis den ikke allerede er aktiv).
- Vær ekstra forsigtig med beskeder, der anmoder om personlige data eller betalinger, selvom de refererer til reelle oplysninger.
- Overvåg den e-mailadresse, der er knyttet til din konto, for phishingforsøg.
- Gennemgå den seneste aktivitet på din Discord og tilknyttede e-mailkonti for at se om der er noget usædvanligt.
- Overvej en kredit- eller identitetsovervågningstjeneste, hvis du har delt billeder af offentlige ID-kort.
Det er vigtigt at være på vagt over for social engineering, da angribere kan forsøge at bevæbne sig. delvise personlige oplysninger for at få yderligere adgang andre steder.
Reguleringsmæssig og juridisk koordinering
Discord har angivet, at de samarbejder med retshåndhævende myndigheder og databeskyttelsesmyndighederDette involverer typisk anmeldelser af brud, bevisopbevaring og løbende opdateringer, efterhånden som efterforskningen skrider frem.
Virksomheden nævnte også samarbejdet med eksterne sikkerhedseksperter at validere inddæmning og understøtte en grundig gennemgang af leverandørens sikkerhedstilstand.
Hvorfor en leverandørbrudssag er vigtig
Tredjepartsudbydere håndterer ofte følsomme arbejdsgange, såsom aldersbekræftelse, hvilket gør dem til et attraktivt mål. Selv når en platforms kernesystemer forbliver intakte, kan angribere stadig få adgang til personoplysninger af høj værdi via leverandører, der behandler brugerindsendelser.
Denne hændelse understreger vigtigheden af stærk leverandørstyring, herunder sikkerhedskontroller, revisioner og hændelsesrespons indbygget i kontrakter og løbende drift.
Discords seneste opdatering tegner et klarere billede: brud på tredjeparts supportleverandør berørte omkring 70,000 brugeres ID-fotos og nogle relaterede personlige oplysninger, men ikke adgangskoder eller fulde kortnumre. Virksomheden har underrettet de berørte brugere, afbrudt forbindelsen med leverandøren, sikret berørte systemer og samarbejder med myndighederne, samtidig med at overdrevne påstande knyttet til påstået afpresning afvises.
