Discord保護Bot「Double Counter」に不正アクセス、2800万アカウント分のデータ流出

Discordサーバー保護Botサービスを運営するDouble Counterは、4日に発生した不正アクセスにより、約2800万件のDiscordアカウントに関連するデータが流出したと明らかにした。流出したデータには約100万件のメールアドレスが含まれる。ZDNet Koreaが報じた。

攻撃者は、古いサーバー上で外部に公開されていた分析プログラムのセキュリティ欠陥を悪用し、クラウドのアクセス認証情報を取得。約6時間にわたりシステム内に留まり、データを持ち出した。

部分的にコピーされたデータには、約2800万件のDiscord IDとユーザー名、および約2700万件のIPアドレスとおおよその位置情報が含まれる。有料会員については、氏名、居住国、郵便番号も流出対象となった。

Have I Been Pwnedによると、約27万4900件のメールアドレスとDiscordユーザー名がすでに公開されている。攻撃者は約50の大手Discordサーバーに悪意のあるリンクを投稿し、約7316ドルの金銭的被害が発生した。

Double Counterは盗まれた認証情報を無効化し、暗号化キーを交換、データベースをプライベートネットワークへ移行して同日中にサービスを復旧した。5日にはフランスのデータ保護機関CNILにインシデントを報告している。

同社はサーバー管理者に対し、4日に同社名義で送信されたメッセージから不審なリンクを削除するよう呼びかけている。