Un attacco informatico a Double Counter, un popolare bot di sicurezza utilizzato dalle comunità Discord, ha potenzialmente esposto informazioni associate a circa 28 milioni di account. La violazione ha anche permesso a un attaccante di dirottare il bot e distribuire inviti indesiderati su decine di server.
Double Counter aiuta le comunità Discord a verificare i membri e a identificare account sospetti o duplicati. L’incidente ha colpito il servizio indipendente piuttosto che l’infrastruttura stessa di Discord.
Secondo Double Counter, l’attaccante è entrato nei suoi sistemi tramite un server obsoleto che non veniva più utilizzato per le operazioni quotidiane. Una vulnerabilità in uno strumento di analisi esposto ha permesso all’intruso di ottenere le credenziali amministratore e di accedere all’ambiente cloud dell’azienda.
L’attaccante è rimasto attivo nell’infrastruttura cloud per quasi sei ore il 4 ottobre e ha copiato circa 12 GB di informazioni.
Double Counter stima che il database interessato contenesse nomi utente e ID Discord associati a circa 28 milioni di account. Conteneva inoltre indirizzi IP e informazioni approssimative sulla posizione relative a circa 27 milioni di account, insieme a identificatori relativi al browser e circa un milione di indirizzi email.
Non tutti questi record sono stati necessariamente scaricati. Tuttavia, poiché l’azienda non può identificare ogni singolo record copiato, sta trattando le informazioni potenzialmente interessate come esposte.
L’attaccante ha anche ottenuto il token di autenticazione del bot, permettendo loro di impersonare Double Counter all’interno di Discord. Usando quell’accesso, ha pubblicato inviti sul proprio server in circa 50 grandi comunità.
L’incidente si estese anche alla frode finanziaria quando l’aggressore ottenne una chiave di servizio di pagamento associata a un altro prodotto gestito dalla stessa azienda. Le transazioni fraudolente ammontavano a 7.316 dollari su una carta aziendale, mentre a due clienti furono addebitati ulteriori 18 dollari. Entrambi i clienti ricevettero rimborsi.
Double Counter ha sottolineato che le password di Discord e i numeri di carte di pagamento memorizzati non sono stati esposti. Un database separato contenente informazioni associate a circa 58 milioni di utenti non è stato alterato.
L’azienda afferma di aver rimosso l’attaccante, sostituito le credenziali compromesse, messo in sicurezza la propria infrastruttura e ripristinato il servizio normale. Un’indagine non ha rilevato alcun accesso non autorizzato rimasto.
Gli utenti di Discord le cui informazioni sono state esposte possono affrontare un rischio aumentato di tentativi di phishing o impersonificazione, soprattutto se i loro indirizzi email sono stati inclusi. Double Counter consiglia agli utenti di evitare inviti imprevisti al server inviati tramite il proprio bot.
L’azienda ha informato l’autorità francese per la protezione dei dati e sta intraprendendo azioni legali contro i responsabili. L’indagine è ancora in corso.