Hakerzy twierdzą, że ukradli aż 2,1 miliona identyfikatorów ze zdjęciami w wyniku naruszenia 1,5 TB danych Discord

Hakerzy, którzy twierdzą, że są odpowiedzialni za poważne naruszenie w Discord eskalowali swoje groźby, twierdząc, że posiadają 1,5 terabajta zdjęć weryfikujących wiek, składających się z 2 185 151 zdjęć dokumentów tożsamości wydanych przez rząd, takich jak paszporty, prawa jazdy, a także selfie przesłane przez użytkowników podczas automatycznych odwołań do weryfikacji wieku.

Hakerzy, o których mowa, wykorzystują skradzione informacje o użytkownikach do wyłudzenia okupu od Discord. Naruszenie bezpieczeństwa wywołało powszechny alarm związany z ryzykiem kradzieży tożsamości i phishingu, zwłaszcza biorąc pod uwagę, że Discord ma ponad 250 milionów aktywnych użytkowników miesięcznie.

Sytuacja została po raz pierwszy zgłoszona przez trackery cyberbezpieczeństwa, takie jak Hackmanac i Discord Previews online. System weryfikacji wieku tylko zwiększa obawy dotyczące praktyk przechowywania danych i presji regulacyjnej na weryfikację wieku w regionach takich jak Wielka Brytania i Australia.

Naruszenie bezpieczeństwa datuje się na 20 września, kiedy to nieupoważniona osoba włamała się do zewnętrznego dostawcy obsługi klienta Discord, Zendesk, dając mu dostęp do systemów biletowych bez bezpośredniej infiltracji podstawowej infrastruktury Discord.

Discord wykrył anomalię wkrótce potem i publicznie ogłosił incydent 3 października, stwierdzając, że zagrożona była tylko ograniczona liczba użytkowników, którzy skontaktowali się z obsługą klienta lub zespołami ds. zaufania i bezpieczeństwa.

W oficjalnej aktualizacjifirma wyszczególniła zakres naruszenia, wspominając, że atakujący wyraźnie dążył do wyodrębnienia danych w celu wymuszenia, co było wyrachowanym posunięciem, które wysłało fale do innych sektorów, takich jak kryptowaluty, gdzie Zendesk jest znany z obsługi giełd takich jak BtcTurk i HTX, z których obie padły wcześniej ofiarą wielomilionowych hacków.

Zgodnie z komunikatem prasowym Discord, zagrożone informacje obejmują imiona i nazwiska, nazwy użytkowników, adresy e-mail i inne dane kontaktowe udostępnione działowi pomocy technicznej, w tym częściowe dane rozliczeniowe, takie jak typy płatności, ostatnie cztery cyfry kart kredytowych i historie zakupów, adresy IP, rozmowy z agentami obsługi klienta oraz ograniczone materiały wewnętrzne, takie jak dokumenty szkoleniowe i prezentacje.

W wyciekach nie ma pełnych numerów kart kredytowych, kodów CVV, prywatnych wiadomości i haseł. Podczas gdy Discord przyznał, że hakerzy uzyskali dostęp do "niewielkiej liczby rządowych obrazów identyfikacyjnych" z odwołań dotyczących weryfikacji wieku, hakerzy twierdzą, że mają ponad dwa miliony takich plików, potencjalnie zebranych przed automatycznym usunięciem.

Discord zaczął wysyłać e-maile do poszkodowanych osób i wzywa użytkowników do zachowania czujności na wszelkie podejrzane wiadomości.