- Um provedor terceirizado de suporte ao cliente foi violado, expondo cerca de 70,000 fotos de identidade de usuários no mundo todo.
- Os dados expostos podem incluir nomes, nomes de usuários, e-mails, endereços IP e os últimos quatro dígitos de cartões de pagamento; nenhuma senha ou número completo de cartão foi obtido.
- O Discord contatou os usuários afetados, protegeu os sistemas, encerrou o trabalho com o fornecedor e está cooperando com as autoridades policiais e de proteção de dados.
- Alegações de um cache de 1.5 TB vinculado à verificação de idade foram consideradas imprecisas e vinculadas a uma tentativa de extorsão, de acordo com um porta-voz.
O Discord confirmou um incidente de segurança envolvendo um provedor de suporte ao cliente terceirizado comprometido, resultando na exposição de fotos de documentos de identidade de aproximadamente 70,000 usuários em todo o mundo. Embora a empresa enfatize que seus sistemas principais não foram acessados diretamente, a violação afetou um fornecedor que ajuda a revisar apelos relacionados à idade na plataforma.
De acordo com um porta-voz da empresa, o incidente desencadeou uma investigação e uma resposta coordenada. A discussão pública sobre um enorme acervo de dados de 1.5 TB foi abordada: esses números são impreciso e vinculado a uma tentativa de extorsão, e o Discord diz que não tem intenção de recompensar comportamentos ilegais.
O que aconteceu e como ocorreu a violação
O ataque teve como alvo um provedor externo usado pelo Discord para suporte ao cliente, incluindo equipes focadas em Confiança e Segurança. Esse fornecedor coleta imagens de documentos de identidade oficiais, como passaportes e carteiras de motorista—especificamente para validar recursos referentes à idade de um usuário, um processo que ocasionalmente requer revisão de documentos.
Ao comprometer o fornecedor, o invasor obteve acesso a determinados registros enviados por usuários que buscavam ajuda. O Discord indica que seus próprios sistemas não foram diretamente infiltrados e que o caminho da violação foi através do sistema de terceiros em vez da infraestrutura do Discord.
Quais informações foram expostas
O Discord afirma que o conjunto de dados exposto pode incluir diversas categorias de informações pessoais. O elemento mais sensível é a presença de Fotos de documentos de identidade associados à verificação de idade e recursos relacionados.
- Imagens de documentos de identidade (para verificação de idade e recursos)
- Nomes e nomes de usuários do Discord
- Endereços de e-mail e endereços IP
- Últimos quatro dígitos dos números do cartão de pagamento
A empresa acrescenta que senhas e números completos de cartões não foram comprometidos. Como resultado, os usuários não precisam redefinir suas credenciais apenas devido à exposição da senha, embora salvaguardas adicionais ainda sejam recomendadas.
Âmbito do impacto
O Discord colocou o número aproximado de contas impactadas em cerca de 70,000 usuários em todo o mundo. O número se refere especificamente àqueles cujas fotos de documentos de identidade foram incluídas no conjunto de dados do fornecedor acessado pelo invasor.
Embora o incidente seja grave, Discord reitera que houve nenhuma violação direta de seus sistemas primários, e a exposição foi limitada aos dados processados pelo provedor terceirizado para fluxos de trabalho de suporte.
Resposta da empresa e ações em andamento
Um porta-voz confirmou que o Discord tem contatou todos os usuários afetados e continua em coordenação com autoridades policiais, autoridades de proteção de dados e especialistas externos em segurança. Essas medidas visam garantir a contenção, as notificações e a conformidade com as regulamentações aplicáveis.
Discord diz que tem garantiu os sistemas afetados e encerrou seu relacionamento com o fornecedor afetado. A empresa enfatizou que não fornecerá nenhum pagamento ou benefício aos responsáveis pela tentativa de extorsão, ressaltando que tais alegações são ilegais e enganosa.
Abordando a desinformação sobre a violação
Relatórios que circulam nas redes sociais alegam que os atacantes obtiveram cerca de 1.5 TB de fotos de verificação de idadeO porta-voz do Discord rebateu essas alegações, observando que elas são imprecisas e fazem parte de um esforço mais amplo para pressionar a empresa.
O esclarecimento foi compartilhado para corrigir o registro e reduzir o pânico desnecessário. Segundo o porta-voz, o escopo verificado permanece aproximadamente 70,000 usuários impactados, não um cache de vários terabytes.
O que os usuários afetados podem fazer agora
Embora senhas e números completos de cartões de pagamento não tenham sido expostos, existem medidas prudentes que os usuários podem tomar para reduzir os riscos. Essas medidas podem ajudar a lidar com possíveis consequências de Foto de identificação e dados de contato exposição.
- Habilite a autenticação multifator na sua conta do Discord (se ainda não estiver ativa).
- Seja extremamente cauteloso com mensagens que solicitam dados pessoais ou pagamentos, mesmo que façam referência a detalhes reais.
- Monitore o endereço de e-mail vinculado à sua conta em busca de tentativas de phishing.
- Revise a atividade recente no seu Discord e nas contas de e-mail associadas para verificar se há algo incomum.
- Considere um serviço de monitoramento de crédito ou identidade se você compartilhou imagens de documentos de identidade governamentais.
Manter-se vigilante contra a engenharia social é fundamental, pois os invasores podem tentar usar como arma informações pessoais parciais para obter mais acesso em outro lugar.
Coordenação regulatória e jurídica
O Discord indicou que está colaborando com autoridades policiais e de proteção de dados. Isso normalmente envolve notificações de violação, preservação de evidências e atualizações contínuas à medida que a investigação avança.
A empresa também mencionou trabalhar com especialistas em segurança externa para validar a contenção e dar suporte a uma revisão completa da postura de segurança do fornecedor.
Por que uma violação de fornecedor é importante
Provedores terceirizados frequentemente lidam com fluxos de trabalho sensíveis, como verificação de idade, o que os torna um alvo atraente. Mesmo quando os sistemas centrais de uma plataforma permanecem intactos, os invasores ainda podem acessar dados pessoais de alto valor por meio de fornecedores que processam envios de usuários.
Este incidente sublinha a importância de uma gestão forte dos fornecedores, incluindo controles de segurança, auditorias e resposta a incidentes incorporados em contratos e operações contínuas.
A última atualização do Discord pinta um quadro mais claro: um violação de fornecedor de suporte terceirizado Afetou cerca de 70,000 fotos de identidade de usuários e alguns dados pessoais relacionados, mas não senhas ou números completos de cartão. A empresa notificou os usuários afetados, rompeu relações com o fornecedor, protegeu os sistemas afetados e está trabalhando com as autoridades, enquanto rejeita alegações exageradas relacionadas à suposta extorsão.
