Un grupo de delincuentes logró acceder a información sensible de algunos usuarios de Discord, incluyendo datos personales y detalles de pago. El incidente ocurrió al comprometer la seguridad de un proveedor de servicio al cliente externo utilizado por la plataforma.
El ataque
El incidente se produjo el 20 de septiembre y afectó a un número limitado de usuarios que interactuaban con el servicio de atención al cliente o los equipos de Confianza y Seguridad de Discord. La empresa informó que una persona no autorizada obtuvo acceso limitado a un sistema de servicio al cliente externo.
Discord reveló públicamente el incidente, indicando que tomó medidas inmediatas para aislar al proveedor de soporte de su sistema de tickets e inició una investigación. Esto incluyó la revocación del acceso del proveedor de atención al cliente a nuestro sistema de tickets, el inicio de una investigación interna, la contratación de una firma líder en informática forense para apoyar nuestra investigación y las iniciativas de remediación, y la participación de las fuerzas del orden.
Datos expuestos
Los atacantes accedieron a información como direcciones IP, mensajes y archivos adjuntos enviados a los agentes de atención al cliente. También se vieron comprometidos datos personales, incluyendo nombres reales, nombres de usuario, direcciones de correo electrónico y otros datos de contacto proporcionados al equipo de soporte.
Además, los atacantes accedieron a fotos de documentos de identificación oficiales, como licencias de conducir y pasaportes, de un pequeño número de usuarios. También se expuso información parcial de facturación, como el tipo de pago, los últimos cuatro dígitos de la tarjeta de crédito y el historial de compras asociado a la cuenta comprometida.
Motivación económica
El ataque parece tener una motivación económica, ya que los atacantes exigieron un rescate a Discord a cambio de no filtrar la información robada. El grupo de seguridad VX-Underground señaló que el tipo de datos robados representa literalmente la identidad completa de las personas.
Reacciones y análisis
Alon Gal, director de tecnología de Hudson Rock, comentó que si se publican los datos, podrían proporcionar información crucial para ayudar a descubrir o resolver hackeos y estafas relacionadas con criptomonedas.
Responsabilidad del proveedor
Actualmente, se desconoce cuántos usuarios de Discord están afectados, ni el nombre del proveedor externo o el vector de acceso. Sin embargo, el grupo de amenazas Scattered Lapsus$ Hunters (SLH) se atribuyó el ataque.
SLH confirmó a BleepingComputer que se trató de una brecha de seguridad de Zendesk que permitió el robo de datos de los usuarios de Discord. Sin embargo, posteriormente declararon que se trataba de un grupo diferente al que conocen y con el que interactúan.
Una imagen publicada por los atacantes muestra una lista de control de acceso de Kolide para empleados de Discord con acceso a la consola de administración. Kolide es una solución de confianza para dispositivos que se conecta al servicio de Gestión de Identidad y Acceso (IAM) basado en la nube de Okta para la autenticación multifactor.