Хакеры украли миллион аккаунтов Discord в многоэтапной атаке на Double Counter

Discord снова угодил в скандал с утечкой данных пользователей. На этот раз пострадал не сам мессенджер, а Double Counter — сервис, который работает как модератор для Discord-серверов: блокирует альт-аккаунты и защищает от рейдов враждебными ботами.

Что украли

Хакеры провели скоординированную многоэтапную атаку на инфраструктуру Double Counter и почти шесть часов копошились в системах, пока их не заметили. По данным самого сервиса, украдены около 1 миллиона почтовых адресов пользователей. Кроме того, в руках злоумышленников оказались Discord ID, имена пользователей, IP-адреса и информация о геолокации для до 28 миллионов человек — правда, частично.

Сервис Have I Been Pwned (трекер взломов) уточняет, что 275 тысяч электронных адресов и юзернеймов из похищенной базы уже выложили в открытый доступ.

Почему это случилось

Double Counter хранит персональные данные пользователей серверов, которые подписаны на его защиту. До этого сервис критиковали за то, что он якобы продавал данные пользователей в коммерческих целях. Теперь понятно, что защита информации в Double Counter была организована не очень хорошо.

Это уже вторая утечка за год

Ровно год назад произошла похожая история: хакеры взломали одного из партнёров Discord по кастомер-сервису и украли около 70 тысяч фотографий удостоверений личности пользователей. Теперь история повторилась, но с другим сервисом.

Оба инцидента — это удар по репутации Discord, даже с учётом того, что сама платформа не была взломана напрямую. Получается, что безопасность данных пользователей зависит от того, насколько хорошо защищены системы всех партнёров и интеграций.

Эта ситуация особенно неудачна для Discord на фоне проблемных попыток внедрить систему проверки возраста. В частности, в Великобритании платформа передала данные компании, которая финансируется одиозными инвесторами.