はじめに
人気コミュニケーションプラットフォームのDiscordが、第三者の顧客サービスプロバイダーへの不正アクセスにより、一部のユーザーの個人情報および部分的な支払い情報が盗まれたことを発表しました。このサイバー攻撃は、2025年9月20日に発生し、Discordのカスタマーサポートやトラスト＆セーフティチームとやり取りした限定された数のユーザーに影響を与えました。
事件の概要
Discordの発表によると、攻撃者は9月20日に第三者の顧客サービスシステムに限定的なアクセス権を獲得しました。Discordは直ちに対応し、サポートプロバイダーのチケットシステムへのアクセスを遮断し、内部調査を開始しました。また、一流のコンピューターフォレンジック企業を雇い、法執行機関と連携して調査と復旧作業を進めています。
この攻撃は金銭目的であったと見られ、ハッカーは盗んだ情報の漏洩と引き換えにDiscordに身代金を要求しました。
流出した個人情報
流出したデータには、以下のような機密性の高い個人識別情報が含まれています。
- 実名、ユーザー名、メールアドレス、その他の連絡先（サポートチームに提供されたもの）
- IPアドレス、カスタマーサービスエージェントに送信されたメッセージおよび添付ファイル
- 少数のユーザーについては、政府発行の身分証明書（運転免許証、パスポート）の写真
- 部分的な請求情報（支払いタイプ、クレジットカードの下4桁、購入履歴）
セキュリティグループVX-Undergroundは、盗まれたデータが「文字通り人々の全アイデンティティ」を構成すると指摘しています。脅威インテリジェンス企業Hudson RockのCTOであるアロン・ガル氏は、このデータが流出すれば、暗号通貨関連のハッキングや詐欺の解決に大きく役立つ可能性があると考えています。
Discordの対応と背景
Discordは、ゲーマー向けのコミュニケーションプラットフォームとして誕生しましたが、現在では様々なコミュニティに拡大し、テキストメッセージ、音声チャット、ビデオ通話を提供しています。毎月2億人以上のユーザーが利用しており、そのセキュリティは極めて重要です。
今回の事件では、影響を受けたユーザー数、第三者プロバイダーの名称、およびアクセス経路は現時点では公表されていません。BleepingComputerはDiscordに詳細を問い合わせましたが、コメントは得られていません。
今後の課題と類似事例
今回の事件は、サプライチェーン攻撃の危険性を改めて浮き彫りにしました。最近では、ShinyHuntersグループが盗まれたSalesloft Drift OAuthトークンを使用してSalesforceインスタンスを侵害し、多数の企業から15億件以上のSalesforceレコードを盗んだと主張する事件も発生しています。
企業は、自社のセキュリティ対策だけでなく、サプライヤーやパートナー企業のセキュリティ体制にも注意を払う必要性が高まっています。