Hackers afirman que una filtración de Discord expuso datos de 5.5 millones de usuarios
La filtración de Discord: qué pasó y qué necesitan saber los usuarios
En octubre de 2025, Discord reveló una importante filtración de datos que afectó a usuarios que habían interactuado con sus equipos de atención al cliente y Trust & Safety. Si bien la compañía informó inicialmente que aproximadamente 70,000 usuarios podrían haber tenido datos sensibles como fotos de identificación gubernamental expuestos, los hackers afirmaron haber robado datos de 5.5 millones de usuarios. Esta discrepancia ha generado preocupación y confusión. Discord ha declarado que la filtración no fue un ataque directo a su plataforma, sino un compromiso de un proveedor de servicios de atención al cliente externo, 5CA.
Los atacantes accedieron a un sistema de tickets utilizado por el equipo de soporte de Discord, obteniendo acceso a mensajes, nombres de usuario, direcciones de correo electrónico y, en algunos casos, información de facturación limitada e imágenes de identificación gubernamental enviadas para la verificación de edad. Discord ha revocado el acceso del proveedor, ha iniciado una investigación con una firma forense y está trabajando con las autoridades.
No es una filtración de Discord, sino un incidente de terceros
Discord ha insistido en que sus propios sistemas no fueron vulnerados. En cambio, el ataque se dirigió a un proveedor de servicios de atención al cliente externo, 5CA. Este es un vector común para las filtraciones de datos, donde los atacantes explotan el eslabón más débil de una cadena de suministro. La parte no autorizada utilizó tácticas de ingeniería social para obtener acceso al sistema de tickets de soporte de Discord, no explotando una vulnerabilidad en el código propio de Discord. Esta distinción es importante: los sistemas centrales de mensajería y autenticación de Discord permanecieron seguros. Sin embargo, para los usuarios que habían contactado al soporte, sus datos quedaron expuestos. El incidente resalta los riesgos de compartir datos con terceros y la necesidad de auditorías de seguridad rigurosas a los proveedores.
Datos sensibles expuestos: identificaciones, información de facturación y más
La filtración expuso una variedad de datos de usuarios, principalmente de aquellos que se habían comunicado con los equipos de Atención al Cliente o Trust & Safety de Discord. Los datos comprometidos incluyen:
- Nombres, nombres de usuario de Discord, direcciones de correo electrónico y otros datos de contacto proporcionados al soporte
- Información de facturación limitada, como el tipo de pago, los últimos cuatro dígitos de la tarjeta de crédito y el historial de compras
- Direcciones IP
- Mensajes intercambiados con los agentes de soporte
- Imágenes de identificación gubernamental de aproximadamente 70,000 usuarios que apelaron determinaciones de edad
Cabe destacar que no se comprometieron contraseñas, números completos de tarjetas de crédito ni mensajes privados entre usuarios. Las fotos de identificación son particularmente preocupantes, ya que pueden utilizarse para el robo de identidad. Discord ha declarado que notificará a los usuarios afectados por correo electrónico desde 'noreply@discord.com'.
Afirmaciones de los hackers: 5.5 millones frente a 70,000
Los hackers, supuestamente un grupo conocido como Scattered Lapsu$ Hunters (SLH), afirmaron haber robado datos de 5.5 millones de usuarios, superando con creces el impacto reconocido por Discord de aproximadamente 70,000. También afirmaron tener 1.5 terabytes de datos. Discord ha calificado estas afirmaciones como 'incorrectas y parte de un intento de extorsión para obtener un pago'. Sin embargo, los expertos en seguridad señalan que el número real de usuarios afectados podría ser mayor si los atacantes accedieron a un rango más amplio de tickets de soporte. Discord no ha proporcionado un desglose detallado, lo que deja cierta incertidumbre. Los usuarios deben permanecer atentos y considerar si han contactado al soporte de Discord en el pasado.
¿Quiénes son los hackers?
El grupo se describe como una coalición que combina tácticas de Scattered Spider, Lapsu$ y ShinyHunters. Dependen de la ingeniería social en lugar de malware, atacando a proveedores externos para llegar a objetivos más grandes. Esta es una tendencia creciente en el cibercrimen, que evita las defensas reforzadas al atacar a socios menos seguros.
Respuesta de Discord: acción rápida y próximos pasos
Discord actuó rápidamente al descubrir la filtración. Revocó el acceso del proveedor externo, inició una investigación interna con el apoyo de expertos forenses y contactó a las autoridades. La compañía también notificó a las autoridades de protección de datos pertinentes y está en proceso de contactar a los usuarios afectados. Discord ha asegurado a los usuarios que no se comunicará con ellos por teléfono y que las comunicaciones oficiales provienen únicamente de 'noreply@discord.com'. Para los usuarios no afectados, no se requiere ninguna acción. Sin embargo, Discord recomienda que todos los usuarios tengan cuidado con mensajes o correos electrónicos sospechosos.
Lecciones para los usuarios: cómo protegerse después de una filtración
Este incidente sirve como recordatorio de que, incluso si una plataforma en sí es segura, las integraciones de terceros pueden ser vulnerables. Estos son los pasos que los usuarios pueden seguir:
- Cuidado con los intentos de phishing: Desconfíe de correos electrónicos o mensajes inesperados que afirmen ser de Discord, especialmente aquellos que soliciten información personal.
- Use contraseñas únicas: Active la autenticación de dos factores en su cuenta de Discord.
- Revise las interacciones de soporte: Si ha compartido datos sensibles con el soporte de Discord, tenga especial cuidado con el robo de identidad.
- Monitoree sus cuentas financieras: Aunque los números completos de tarjetas de crédito no fueron expuestos, la información de facturación limitada podría usarse en ataques dirigidos.
Discord ha declarado que ya no utilizará el sistema comprometido para la verificación de edad y se ha trasladado a proveedores dedicados como k-ID y Persona. La compañía también dice que eliminará las imágenes de identificación gubernamental después de la verificación para minimizar el riesgo futuro.
El panorama general: riesgo de terceros y privacidad de datos
Esta filtración subraya el creciente desafío del riesgo de terceros en el ecosistema digital. Empresas como Discord pueden tener una seguridad interna sólida, pero un solo proveedor con controles débiles puede exponer a millones de usuarios. El incidente también reaviva los debates sobre los sistemas de verificación de edad, que requieren la recopilación de datos biométricos sensibles. Los activistas de derechos digitales advierten que dichos sistemas crean atractivos para los atacantes. Para los usuarios, la conclusión es ser prudentes con la información que comparten con cualquier servicio en línea, especialmente identificaciones sensibles. A medida que Discord y otras plataformas continúen evolucionando sus prácticas de seguridad, este evento probablemente influirá en cómo evalúan y gestionan a los proveedores externos en el futuro.