Atak przeprowadzony 4 października na usługę Double Counter, popularne narzędzie do weryfikacji użytkowników na Discordzie, doprowadził do przejęcia częściowych danych dotyczących około 28 milionów kont w tym komunikatorze. W ciągu niespełna sześciu godzin cyberprzestępcy skopiowali 12 GB informacji i uzyskali dostęp do elementów infrastruktury, z której każdego miesiąca korzystają setki tysięcy społeczności graczy, twórców i firm.

Dlaczego Double Counter jest kluczowy dla milionów serwerów

Discord, z ponad 560 milionami zarejestrowanych kont i około 150 milionami aktywnych użytkowników miesięcznie, opiera się na setkach tysięcy zewnętrznych botów rozszerzających funkcjonalność platformy. Double Counter specjalizuje się w zapobieganiu tak zwanym „raidom” (masowym najazdom kont spamerskich) i weryfikuje odwiedzających m.in. poprzez analizę adresu IP, identyfikatora przeglądarki oraz odcisku urządzenia. Dzięki temu operatorzy serwerów odfiltrowują multikonta, a twórcy mogą prowadzić zamknięte społeczności bez ryzyka, że ktoś ominie podstawowe zabezpieczenia Discorda. Zaufanie do takich narzędzi jest wysokie, bo redukują one aż 70–80% prób spamu według danych firm analitycznych zajmujących się bezpieczeństwem komunikatorów.

Przebieg włamania: luka w starszym komponencie analitycznym

Atak rozpoczął się w nocy z 3 na 4 października. Napastnicy wykorzystali błąd w przestarzałej instancji narzędzia analitycznego, które nie było już oficjalnie wspierane. Po zdobyciu poświadczeń usługowych przeniknęli do chmurowej części infrastruktury i utrzymywali tam obecność przez około 5 godzin 45 minut – tyle wystarczyło, by wykonać kilka równoległych eksportów danych. Z ustaleń specjalistów wynika, że ruch exfiltracyjny był maskowany jako legalne zapytania diagnostyczne, dlatego został wykryty dopiero po przekroczeniu progów alertowych ruchu wychodzącego.

Zakres kompromitacji – najważniejsze liczby

28 mln kont: częściowe identyfikatory i nazwy użytkowników; 27 mln kont: fragmentaryczne adresy IP wraz z przybliżoną geolokalizacją; 25 mln kont: skrócone „user-agenty”, czyli odciski przeglądarek i urządzeń; 1 mln kont: pełne adresy e-mail. Poza zasięgiem atakujących pozostało dodatkowe 15 mln rekordów służących do wykrywania ruchu VPN. Firma potwierdziła, że nie wykradziono haseł ani tokenów sesyjnych Discorda, co minimalizuje ryzyko bezpośrednich przejęć kont.

Pozostałe skutki: przejęty bot i nieautoryzowane płatności

Hakerzy zabezpieczyli także token głównego bota Double Counter i za jego pomocą wysyłali fałszywe zaproszenia na kontrolowany przez siebie serwer. Wiadomości trafiły na około 50 dużych społeczności, a część użytkowników zgłaszała próby wyłudzeń danych logowania. Dodatkowo napastnicy uzyskali klucz integracji z procesorem płatności, co pozwoliło im zlecić transakcje warte łącznie ponad 7 300 USD. System automatycznych zwrotów zablokował większość zleceń, a firma pokryła pozostałe nieautoryzowane obciążenia.

Działania naprawcze i współpraca z organami ścigania

Zaraz po incydencie Double Counter odłączył podatny serwer, cofnął uprawnienia skompromitowanych kont usługowych i unieważnił token bota. Do zespołu reagowania kryzysowego dołączyli niezależni specjaliści ds. cyberbezpieczeństwa oraz kancelarie prawne we Francji i Stanach Zjednoczonych. Firma złożyła już zawiadomienia do lokalnych jednostek policji cybernetycznej oraz do FBI. Pełny audyt kodu zaplanowano na czwarty kwartał roku, a wszystkie komponenty starszej generacji mają zostać wyłączone do końca listopada.

Rekomendacje dla administratorów i użytkowników

Choć wymiana haseł do Discorda nie jest wymagana, eksperci zalecają włączenie dwuskładnikowego uwierzytelniania i sprawdzenie listy aktywnych aplikacji połączonych z kontem. Administratorzy serwerów powinni natychmiast usunąć wiadomości rozesłane przez skompromitowanego bota i przeprowadzić ponowną weryfikację ustawień uprawnień. Użytkownicy otrzymują ponadto wskazówkę, by ignorować niespodziewane zaproszenia, zwłaszcza jeżeli obiecują nagrody lub tokeny kryptowalut – to obecnie najczęstszy wektor nadużyć po dużych wyciekach danych.