- Došlo k narušení bezpečnosti externího poskytovatele zákaznické podpory, což odhalilo přibližně 70 000 fotografií dokladů totožnosti uživatelů po celém světě.
- Zveřejněná data mohou zahrnovat jména, uživatelská jména, e-maily, IP adresy a poslední čtyři číslice platebních karet; nebyla získána žádná hesla ani celá čísla karet.
- Discord kontaktoval dotčené uživatele, zabezpečil systémy, ukončil spolupráci s dodavatelem a spolupracuje s orgány činnými v trestním řízení a orgány na ochranu osobních údajů.
- Tvrzení o 1.5 TB mezipaměti spojené s ověřením věku byla podle mluvčího považována za nepřesná a spojena s pokusem o vydírání.
Discord potvrdil bezpečnostní incident, který se týkal... kompromitovaný poskytovatel zákaznické podpory třetí strany..., což vedlo k odhalení fotografií dokladů totožnosti zhruba 70 000 uživatelů po celém světě. Ačkoli společnost zdůrazňuje, že k jejím klíčovým systémům nebyl přímo přístup, narušení se dotklo dodavatele, který pomáhá s kontrolou... odvolání související s věkem na platformě.
Podle mluvčího společnosti incident spustil vyšetřování a koordinovanou reakci. Veřejné diskuse o obrovském objemu dat o velikosti 1.5 TB byly vyřešeny: tato čísla jsou… nepřesné a spojené s pokusem o vydíránía Discord tvrdí, že nemá v úmyslu odměňovat nezákonné chování.
Co se stalo a jak k porušení došlo
Útok byl zaměřen na externího poskytovatele zákaznické podpory, kterého Discord využívá, včetně týmů zaměřených na důvěru a bezpečnost. Tento dodavatel shromažďuje obrázky oficiálních dokladů totožnosti – například pasy a řidičské průkazy—konkrétně k ověření odvolání týkajících se věku uživatele, což je proces, který občas vyžaduje kontrolu dokumentů.
Narušením dodavatele získal útočník přístup k určitým záznamům odeslaným uživateli, kteří hledali pomoc. Discord naznačuje, že jeho vlastní systémy nebyly přímo infiltrovány a že cesta k narušení vedla přes... systém třetí strany spíše než infrastruktura Discordu.
Jaké informace byly zveřejněny
Discord uvádí, že odhalená datová sada může obsahovat několik kategorií osobních údajů. Nejcitlivějším prvkem je přítomnost Fotografie dokladů totožnosti související s ověřováním věku a souvisejícími odvoláními.
- Obrázky dokladů totožnosti (pro ověření věku a odvolání)
- Jména a uživatelská jména na Discordu
- E-mailové adresy a IP adresy
- Poslední čtyři číslice čísla platební karty
Společnost dodává, že hesla a celá čísla karet nebyla ohroženaV důsledku toho si uživatelé nemusí resetovat své přihlašovací údaje pouze kvůli odhalení hesla, i když se stále doporučují další ochranná opatření.
Rozsah dopadu
Discord uvedl přibližný počet dotčených účtů. přibližně 70 000 uživatelů po celém světěObrázek se vztahuje konkrétně na ty, jejichž fotografie z dokladů totožnosti byly zahrnuty v datové sadě dodavatele, ke které útočník získal přístup.
I když je incident vážný, Discord opakuje, že k němu došlo žádné přímé narušení jeho primárních systémůa vystavení se omezovalo na data zpracovávaná externím poskytovatelem pro účely podpory.
Reakce společnosti a probíhající opatření
Mluvčí potvrdil, že Discord... kontaktoval všechny dotčené uživatele a nadále koordinuje svou činnost s orgány činnými v trestním řízení, orgány na ochranu osobních údajů a externími bezpečnostními experty. Cílem těchto kroků je zajistit omezení šíření, oznámení a dodržování platných předpisů.
Discord říká, že to tak je. zabezpečil postižené systémy a ukončila svůj vztah s dotčeným dodavatelem. Společnost zdůraznila, že těm, kteří stojí za pokusem o vydírání, neposkytne žádnou platbu ani prospěch, a zdůraznila, že takové nároky jsou nezákonné i zavádějící.
Řešení dezinformací o narušení bezpečnosti
Zprávy šířící se na sociálních sítích uváděly, že útočníci získali přibližně 1.5 TB fotografií pro ověření věkuMluvčí Discordu se proti těmto tvrzením postavil s tím, že jsou nepřesná a tvoří součást širšího úsilí o vyvíjení tlaku na společnost.
Vysvětlení bylo zveřejněno za účelem nápravy záznamu a zmírnění zbytečné paniky. Podle mluvčího zůstává ověřený rozsah přibližně 70 000 dotčených uživatelů, nikoli mezipaměť o velikosti několika terabajtů.
Co mohou dotčení uživatelé nyní dělat
Přestože hesla a úplná čísla platebních karet nebyla odhalena, existují obezřetné kroky, které mohou uživatelé podniknout ke snížení rizika. Tato opatření mohou pomoci řešit potenciální následky Fotografie dokladu totožnosti a kontaktní údaje expozice.
- Povolte na svém účtu Discord vícefaktorové ověřování (pokud již není aktivní).
- Buďte obzvláště opatrní u zpráv požadujících osobní údaje nebo platby, i když se v nich odkazuje na skutečné údaje.
- Sledujte e-mailovou adresu propojenou s vaším účtem, zda se na ni nedostalo phishingových útoků.
- Zkontrolujte nedávnou aktivitu na svém Discordu a přidružených e-mailových účtech, zda se neobjevily nějaké neobvyklé události.
- Pokud jste sdíleli obrázky z úvěrových průkazů, zvažte službu pro sledování úvěruschopnosti nebo identity.
Klíčová je ostražitost vůči sociálnímu inženýrství, protože útočníci se mohou pokusit zneužít částečné osobní údaje získat další přístup jinde.
Regulační a právní koordinace
Discord naznačil, že spolupracuje s orgány činné v trestním řízení a orgány na ochranu osobních údajůTo obvykle zahrnuje oznámení o narušení bezpečnosti, uchovávání důkazů a průběžné aktualizace v průběhu vyšetřování.
Společnost také zmínila spolupráci s externí bezpečnostní experti ověřit zabezpečení a podpořit důkladnou kontrolu bezpečnostního stavu dodavatele.
Proč je důležité porušení bezpečnosti dodavatele
Poskytovatelé třetích stran často zpracovávají citlivé pracovní postupy, jako je ověřování věku, což z nich činí atraktivní cíl. I když základní systémy platformy zůstanou nedotčené, útočníci k nim stále mají přístup. osobní údaje s vysokou hodnotou prostřednictvím dodavatelů, kteří zpracovávají uživatelské podání.
Tato událost zdůrazňuje důležitost silného řízení dodavatelů, včetně bezpečnostní kontroly, audity a reakce na incidenty zabudováno do smluv a probíhajících operací.
Nejnovější aktualizace Discordu vykresluje jasnější obrázek: a narušení podpory dodavatele třetích stran ovlivnilo zhruba 70 000 fotografií z dokladů totožnosti uživatelů a některé související osobní údaje, nikoli však hesla ani celá čísla karet. Firma informovala dotčené uživatele, přerušila spolupráci s dodavatelem, zabezpečila postižené systémy a spolupracuje s úřady, přičemž odmítá přehnaná tvrzení spojená s údajným vydíráním.
