Discord: Atacantes accedieron a unas 70,000 fotos de identificación de usuarios
Filtración de un proveedor externo expone datos de usuarios
Discord reveló recientemente que una parte no autorizada comprometió a uno de sus proveedores externos de servicio al cliente, 5CA, lo que provocó la exposición de aproximadamente 70,000 fotos de identificación gubernamental de usuarios. La filtración, ocurrida el 20 de septiembre de 2025, tuvo como objetivo a un proveedor utilizado para la verificación de edad y apelaciones de soporte. Discord se apresuró a aclarar que su propia plataforma no fue infiltrada: el ataque se centró en el proveedor externo. Inmediatamente después de descubrir el incidente, Discord revocó el acceso del proveedor a su sistema de tickets, inició una investigación interna y contactó a las autoridades. La empresa está en proceso de enviar correos electrónicos a los usuarios afectados, con comunicaciones oficiales provenientes únicamente de noreply@discord.com.
¿Qué datos fueron accedidos?
Los datos expuestos se limitan a la información manejada por el sistema de servicio al cliente. Esto incluye nombres, nombres de usuario de Discord, direcciones de correo electrónico y otros datos de contacto proporcionados a los equipos de soporte. Además, se pudo haber accedido a información limitada de facturación, como el tipo de pago, los últimos cuatro dígitos de las tarjetas de crédito y el historial de compras. También se expusieron direcciones IP y el contenido de los mensajes intercambiados con los agentes de servicio al cliente. Lo más crítico es que se vieron comprometidas un pequeño número de imágenes de identificación gubernamental, como licencias de conducir y pasaportes. Discord enfatizó que no se vieron involucrados números completos de tarjetas de crédito, códigos CVV, contraseñas ni actividad del usuario más allá de las interacciones de soporte.
Impacto en los usuarios y la verificación de edad
Los usuarios afectados incluyen principalmente a aquellos que contactaron a los equipos de Soporte al Cliente o Confianza y Seguridad de Discord, particularmente para apelaciones relacionadas con la edad. Para cumplir con las regulaciones, Discord requiere que los usuarios verifiquen su edad subiendo documentos de identificación emitidos por el gobierno. Este proceso, subcontratado a proveedores externos como 5CA, creó el vector para la filtración. El atacante obtuvo acceso a las fotos de identificación de aproximadamente 70,000 usuarios, que contienen información personal sensible como nombres completos, fechas de nacimiento y direcciones físicas. Esto plantea importantes preocupaciones de privacidad, ya que los datos filtrados podrían usarse para robo de identidad o acoso. Discord ha especificado que los usuarios afectados recibirán un correo electrónico detallando si su identificación fue accedida.
Respuesta de Discord y medidas de seguridad
Discord actuó rápidamente revocando el acceso del proveedor externo, contratando a una importante firma de informática forense y notificando a las autoridades de protección de datos pertinentes. La empresa está trabajando estrechamente con las autoridades para investigar el ataque, que involucró una demanda de rescate. Discord ha declarado que no pagará el rescate, calificándolo como un acto ilegal. De cara al futuro, Discord planea auditar sus sistemas de terceros con más frecuencia para garantizar que cumplan con los estándares de seguridad y privacidad. La empresa también recomienda que todos los usuarios se mantengan alerta ante mensajes o comunicaciones sospechosas que podrían ser parte de intentos de phishing relacionados con la filtración.
Canales de comunicación oficiales
Discord ha advertido que solo contactará a los usuarios afectados por correo electrónico desde noreply@discord.com. Los usuarios deben tener cuidado con llamadas telefónicas o correos electrónicos de otras direcciones que afirmen ser sobre la filtración. La empresa no ha revelado la identidad del proveedor comprometido, pero los informes confirman que fue 5CA, una firma de servicio al cliente con sede en el Reino Unido. Otros proveedores externos, como Zendesk, han declarado que sus sistemas no estuvieron involucrados.
Reacciones de la comunidad y expertos
La filtración ha provocado un amplio debate entre los 200 millones de usuarios de Discord, y muchos expresan su preocupación por el manejo de datos de identificación sensibles. Algunos comentaristas en línea han sugerido que la filtración podría ser más extensa de lo revelado, pero Discord refuta estas afirmaciones, atribuyéndolas a intentos de extorsión. Los expertos en seguridad señalan que este incidente resalta los riesgos de subcontratar la verificación de edad a terceros. La filtración de más de 100 imágenes de identificación en un canal de Telegram, supuestamente de la brecha, subraya los peligros reales de la exposición de identidad. Los usuarios que han enviado identificaciones para apelaciones de DMCA o verificación de edad son particularmente vulnerables, ya que sus direcciones físicas ahora pueden estar en riesgo.
Qué deben hacer los usuarios a continuación
Si recibes un correo electrónico de Discord sobre este incidente, revisa los detalles cuidadosamente. Cambia tu contraseña de Discord y habilita la autenticación de dos factores si aún no lo has hecho. Monitorea tus cuentas financieras en busca de actividad sospechosa, especialmente si tienes información de facturación vinculada a Discord. Ten especial cuidado con los intentos de phishing que puedan hacer referencia a la filtración. Para aquellos cuyas fotos de identificación fueron expuestas, considera colocar una alerta de fraude en tu archivo de crédito e informa cualquier robo de identidad a las autoridades correspondientes. Discord continúa cooperando con las autoridades, pero la vigilancia individual es clave para mitigar posibles daños.