Een cyberaanval op Double Counter, een populaire beveiligingsbot die door Discord-gemeenschappen wordt gebruikt, heeft mogelijk informatie blootgelegd die verband houdt met ongeveer 28 miljoen accounts. De inbraak stelde een aanvaller ook in staat de bot te kapen en ongewenste uitnodigingen over tientallen servers te verspreiden.
Double Counter helpt Discord-gemeenschappen leden te verifiëren en verdachte of dubbele accounts te identificeren. Het incident had invloed op de onafhankelijke dienst in plaats van op de eigen infrastructuur van Discord.
Volgens Double Counter drong de aanvaller zijn systemen binnen via een verouderde server die niet langer werd gebruikt voor dagelijkse operaties. Een kwetsbaarheid in een blootgestelde analysetool stelde de indringer in staat beheerdersgegevens te verkrijgen en toegang te krijgen tot de cloudomgeving van het bedrijf.
De aanvaller bleef op 4 oktober bijna zes uur actief in de cloudinfrastructuur en kopieerde ongeveer 12 GB aan informatie.
Double Counter schat dat de getroffen database gebruikersnamen en Discord-ID’s bevatte die gekoppeld waren aan ongeveer 28 miljoen accounts. Ook bevatte het IP-adressen en geschatte locatiegegevens met betrekking tot ongeveer 27 miljoen accounts, samen met browsergerelateerde identificaties en ongeveer een miljoen e-mailadressen.
Niet al die records zijn noodzakelijkerwijs gedownload. Omdat het bedrijf echter niet elk individueel gekopieerd record kan identificeren, behandelt het de mogelijk getroffen informatie als blootgesteld.
De aanvaller verkreeg ook het authenticatietoken van de bot, waardoor hij zich binnen Discord als Double Counter kon voordoen. Met die toegang plaatsten ze uitnodigingen voor hun eigen server in ongeveer 50 grote gemeenschappen.
Het incident strekte zich uit tot financiële fraude toen de aanvaller een betaaldienstsleutel verkregen die gekoppeld was aan een ander product van hetzelfde bedrijf. Frauduleuze transacties bedroegen in totaal $7.316 tegen een bedrijfskaart, terwijl twee klanten extra $18 in rekening moesten brengen. Beide klanten ontvingen terugbetalingen.
Double Counter benadrukte dat Discord-wachtwoorden en opgeslagen betaalkaartnummers niet werden vrijgegeven. Een aparte database met informatie over ongeveer 58 miljoen gebruikers bleef ook onaangetast.
Het bedrijf zegt dat het de aanvaller heeft verwijderd, gecompromitteerde inloggegevens heeft vervangen, zijn infrastructuur heeft beveiligd en de normale dienst heeft hersteld. Een onderzoek heeft geen ongeautoriseerde toegang meer gevonden.
Discord-gebruikers van wie de informatie is blootgesteld, lopen een verhoogd risico op phishing- of imitatiepogingen, vooral als hun e-mailadres is opgenomen. Double Counter adviseert gebruikers om onverwachte serveruitnodigingen die via de bot worden verstuurd te vermijden.
Het bedrijf heeft de Franse gegevensbeschermingsautoriteit geïnformeerd en onderneemt juridische stappen tegen de verantwoordelijken. Het onderzoek loopt nog steeds.