概要
Discordは、第三者のカスタマーサービスプロバイダーが侵害されたことにより、一部のユーザーデータが盗まれたデータ侵害を公表しました。この攻撃は2025年9月20日に発生し、DiscordのカスタマーサポートまたはTrust and Safetyチームとやり取りした限られた数のユーザーに影響を与えました。
被害の詳細
ハッカーは、以下の情報を含む個人識別情報および部分的な支払い情報を盗み出しました。
- 実名とユーザー名
- メールアドレス
- IPアドレス
- カスタマーサービスエージェントに送信されたメッセージと添付ファイル
- 政府発行の身分証明書（運転免許証、パスポート）の写真（少数のユーザー）
- 支払いタイプ、クレジットカードの下4桁、購入履歴などの部分的な請求情報
セキュリティグループVX-Undergroundは、盗まれたデータが「文字通り人々の全アイデンティティ」を表すと指摘しています。
攻撃者の動機と主張
この攻撃は金銭目的であり、ハッカーは盗んだ情報の漏洩と引き換えにDiscordに身代金を要求しました。Scattered Lapsus$ Hunters (SLH)という脅威グループがこの攻撃を主張しており、Discordがカスタマーサポートに使用していたZendeskインスタンスを侵害したと述べています。彼らは、Discord従業員向けのKolideアクセス制御リストの画像をオンラインに投稿しました。
Discordの対応
Discordは、インシデント発生後すぐに以下の措置を講じました。
- サポートプロバイダーのチケットシステムへのアクセス権を即座に剥奪
- 内部調査の開始
- 調査と修復作業を支援するために、主要なコンピューターフォレンジック会社と契約
- 法執行機関との連携
セキュリティ専門家の見解
脅威インテリジェンス企業Hudson Rockの最高技術責任者であるAlon Gal氏は、このデータが漏洩した場合、仮想通貨関連のハッキングや詐欺の解決に非常に役立つ可能性があると考えています。多くの詐欺師がDiscordを利用しており、バーナーメールやVPNの使用を覚えていないことが多いためです。
今後の展望
現時点では、影響を受けたDiscordユーザーの正確な人数、侵害された第三者プロバイダーの名称、またはアクセス経路は公表されていません。BleepingComputerがDiscordに詳細を求めていますが、コメントはまだ得られていません。