Double Counter zhakowany. Dane milionów użytkowników Discorda skopiowane przez napastnika

Double Counter, popularne narzędzie wykorzystywane do zabezpieczania serwerów na Discordzie przed spamem i botami, padło ofiarą ataku hakerskiego. Według informacji przekazanych przez usługę skopiowane zostały dane dotyczące milionów kont, w tym identyfikatory użytkowników, adresy IP i przybliżone dane geolokalizacyjne.

Atak na usługę weryfikacji serwerów Discorda

Discord jest powszechnie używanym komunikatorem, szczególnie w społecznościach graczy. Duże serwery często korzystają z dodatkowych narzędzi, które pomagają ograniczać spam oraz aktywność botów. Jednym z takich rozwiązań jest Double Counter.

Usługa poinformowała, że nieuprawniony dostęp do danych trwał około sześciu godzin. Z komunikatu przywołanego przez Have I Been Pwned wynika, że incydent był związany z podatnością Metabase.

Jakie dane zostały skopiowane?

Według Double Countera częściowo skopiowano dane obejmujące 28 milionów nazw użytkowników oraz numerów ID. Naruszenie miało również dotyczyć adresów IP i orientacyjnych danych geolokalizacyjnych przypisanych do 27 milionów kont.

Firma przekazała także, że skopiowano około 1 miliona adresów e-mail. Have I Been Pwned informowało natomiast o 275 tysiącach unikalnych adresów e-mail i nazw użytkowników Discorda ujętych w zgłoszonym zestawie danych.

Zakres ujawnionych informacji

• 28 milionów nazw użytkowników i identyfikatorów Discorda miało zostać częściowo skopiowanych.
• 27 milionów kont objęły adresy IP oraz przybliżone dane geolokalizacyjne.
• Około 1 miliona adresów e-mail miało zostać skopiowanych według Double Countera.
• 275 tysięcy unikalnych adresów e-mail odnotowało Have I Been Pwned w związku z incydentem.

Użycie kart kredytowych i stanowisko firmy

Napastnik miał wykorzystać trzy karty kredytowe: jedną należącą do Double Countera oraz dwie należące do klientów usługi. W ten sposób skradziono ponad 7 tysięcy dolarów. Double Counter przekazał, że zwrócił środki klientom i zapewnił, iż ryzyko kolejnych kradzieży zostało wyeliminowane, ponieważ sprawca nie uzyskał dostępu do przechowywanych numerów kart.

Firma podkreśla, że nie posiada haseł użytkowników, danych płatniczych ani treści wiadomości osób weryfikowanych za pomocą usługi. Z tego powodu, według przekazanych informacji, incydent nie wymaga zmiany haseł do kont Discorda.

Do czasu pełnego wyjaśnienia sprawy instalowanie Double Countera ma być wstrzymane. Usługa ma jednak nadal działać na serwerach, na których została już wcześniej wdrożona.