Um ataque cibernético ao Double Counter, um bot de segurança popular usado pelas comunidades do Discord, potencialmente expôs informações associadas a aproximadamente 28 milhões de contas. A violação também permitiu que um atacante sequestrasse o bot e distribuísse convites indesejados por dezenas de servidores.
O Double Counter ajuda as comunidades do Discord a verificar membros e identificar contas suspeitas ou duplicadas. O incidente afetou o serviço independente, e não a própria infraestrutura do Discord.
Segundo a Double Counter, o atacante entrou em seus sistemas por meio de um servidor desatualizado que não era mais usado para operações diárias. Uma vulnerabilidade em uma ferramenta analítica exposta permitiu que o intruso obtivesse credenciais de administrador e acessasse o ambiente de nuvem da empresa.
O atacante permaneceu ativo na infraestrutura da nuvem por quase seis horas em 4 de outubro e copiou aproximadamente 12 GB de informações.
A Double Counter estima que o banco de dados afetado continha nomes de usuário e IDs do Discord associados a cerca de 28 milhões de contas. Também continha endereços IP e informações aproximadas de localização relacionadas a cerca de 27 milhões de contas, além de identificadores relacionados ao navegador e aproximadamente um milhão de endereços de e-mail.
Nem todos esses registros foram necessariamente baixados. No entanto, como a empresa não pode identificar cada registro individual copiado, ela está tratando as informações potencialmente afetadas como expostas.
O atacante também obteve o token de autenticação do bot, permitindo que ele se passasse por Double Counter dentro do Discord. Usando esse acesso, eles postaram convites para seu próprio servidor em aproximadamente 50 grandes comunidades.
O incidente se estendeu à fraude financeira quando o atacante obteve uma chave de serviço de pagamento associada a outro produto operado pela mesma empresa. Transações fraudulentas totalizaram $7.316 contra um cartão da empresa, enquanto dois clientes foram cobrados com $18 adicionais. Ambos os clientes receberam reembolso.
O Double Counter enfatizou que as senhas do Discord e os números de cartão de pagamento armazenados não foram expostos. Um banco de dados separado contendo informações associadas a aproximadamente 58 milhões de usuários também não foi afetado.
A empresa afirma que removeu o atacante, substituiu credenciais comprometidas, protegeu sua infraestrutura e restaurou o serviço normal. Uma investigação não encontrou nenhum acesso não autorizado restante.
Usuários do Discord cujas informações foram expostas podem enfrentar um risco aumentado de tentativas de phishing ou personificação, especialmente se seus endereços de e-mail forem incluídos. O Double Counter aconselha os usuários a evitarem convites inesperados de servidor enviados por meio de seu bot.
A empresa notificou a autoridade francesa de proteção de dados e está adotando ações legais contra os responsáveis. Sua investigação continua em andamento.