دیسکورد: مهاجمان به حدود ۷۰,۰۰۰ عکس شناسنامه کاربران دسترسی پیدا کردند
نقض امنیتی فروشنده شخص ثالث، دادههای کاربران را افشا کرد
دیسکورد اخیراً اعلام کرد که یک شخص غیرمجاز یکی از ارائهدهندگان خدمات مشتری شخص ثالث خود به نام ۵CA را به خطر انداخته است که منجر به افشای تقریباً ۷۰,۰۰۰ عکس شناسنامه دولتی کاربران شد. این نقض که در ۲۰ سپتامبر ۲۰۲۵ رخ داد، فروشندهای را هدف قرار داد که برای تأیید سن و درخواستهای پشتیبانی استفاده میشد. دیسکورد به سرعت روشن کرد که پلتفرم خودش نفوذ نکرده است - حمله بر ارائهدهنده شخص ثالث متمرکز بود. بلافاصله پس از کشف حادثه، دیسکورد دسترسی فروشنده به سیستم تیکتزنی خود را لغو کرد، تحقیقات داخلی را آغاز کرد و با مجریان قانون همکاری کرد. این شرکت در حال ایمیلزنی به کاربران آسیبدیده است و ارتباطات رسمی فقط از noreply@discord.com ارسال میشود.
چه دادههایی در دسترس قرار گرفت؟
دادههای افشا شده محدود به اطلاعاتی است که توسط سیستم خدمات مشتری مدیریت میشود. این شامل نامها، نامهای کاربری دیسکورد، آدرسهای ایمیل و سایر اطلاعات تماس ارائه شده به تیمهای پشتیبانی است. علاوه بر این، اطلاعات صورتحساب محدود - مانند نوع پرداخت، چهار رقم آخر شماره کارت اعتباری و تاریخچه خرید - ممکن است در دسترس قرار گرفته باشد. آدرسهای IP و محتوای پیامهای مبادله شده با نمایندگان خدمات مشتری نیز افشا شد. مهمتر از همه، تعداد کمی از تصاویر شناسنامه دولتی، مانند گواهینامه رانندگی و پاسپورت، به خطر افتاد. دیسکورد تأکید کرد که هیچ شماره کامل کارت اعتباری، کد CVV، رمز عبور یا فعالیت کاربر فراتر از تعاملات پشتیبانی درگیر نبوده است.
تأثیر بر کاربران و تأیید سن
کاربران آسیبدیده عمدتاً شامل کسانی هستند که با تیمهای پشتیبانی مشتری یا اعتماد و ایمنی دیسکورد تماس گرفتهاند، به ویژه برای درخواستهای مربوط به سن. برای رعایت مقررات، دیسکورد از کاربران میخواهد با بارگذاری شناسنامههای صادر شده توسط دولت، سن خود را تأیید کنند. این فرآیند که به فروشندگان شخص ثالث مانند ۵CA برونسپاری شده بود، بردار نقض را ایجاد کرد. مهاجم به عکسهای شناسنامه حدود ۷۰,۰۰۰ کاربر دسترسی پیدا کرد که حاوی اطلاعات شخصی حساس مانند نام کامل، تاریخ تولد و آدرس فیزیکی است. این نگرانیهای قابل توجهی در مورد حریم خصوصی ایجاد میکند، زیرا دادههای نشت شده میتواند برای سرقت هویت یا تعقیب استفاده شود. دیسکورد مشخص کرده است که کاربران آسیبدیده ایمیلی دریافت خواهند کرد که جزئیات دسترسی به شناسنامه آنها را توضیح میدهد.
پاسخ دیسکورد و اقدامات امنیتی
دیسکورد با لغو دسترسی ارائهدهنده شخص ثالث، استخدام یک شرکت برجسته پزشکی قانونی رایانه و اطلاعرسانی به مقامات حفاظت از دادههای مربوطه، سریع عمل کرد. این شرکت از نزدیک با مجریان قانون برای بررسی حمله که شامل درخواست باج بود، همکاری میکند. دیسکورد اعلام کرده است که باج را پرداخت نخواهد کرد و آن را یک عمل غیرقانونی خوانده است. در آینده، دیسکورد قصد دارد سیستمهای شخص ثالث خود را بیشتر ممیزی کند تا اطمینان حاصل شود که استانداردهای امنیتی و حریم خصوصی را رعایت میکنند. این شرکت همچنین به همه کاربران توصیه میکند که در برابر پیامهای مشکوک یا ارتباطاتی که میتواند بخشی از تلاشهای فیشینگ مرتبط با نقض باشد، هوشیار باشند.
کانالهای ارتباطی رسمی
دیسکورد هشدار داده است که فقط از طریق ایمیل از noreply@discord.com با کاربران آسیبدیده تماس خواهد گرفت. کاربران باید مراقب تماسهای تلفنی یا ایمیلهای آدرسهای دیگر که ادعا میکنند مربوط به نقض هستند، باشند. این شرکت هویت فروشنده به خطر افتاده را فاش نکرده است، اما گزارشها تأیید میکنند که ۵CA، یک شرکت خدمات مشتری مستقر در بریتانیا بوده است. سایر ارائهدهندگان شخص ثالث، مانند Zendesk، اعلام کردهاند که سیستمهای آنها درگیر نبوده است.
واکنشهای جامعه و کارشناسان
این نقض بحث گستردهای را در میان ۲۰۰ میلیون کاربر دیسکورد برانگیخته است و بسیاری نگرانی خود را در مورد مدیریت دادههای حساس شناسنامه ابراز کردهاند. برخی از مفسران آنلاین پیشنهاد کردهاند که نقض ممکن است گستردهتر از آنچه افشا شده باشد، اما دیسکورد این ادعاها را رد میکند و آنها را به تلاشهای اخاذی نسبت میدهد. کارشناسان امنیتی خاطرنشان میکنند که این حادثه خطرات برونسپاری تأیید سن به اشخاص ثالث را برجسته میکند. نشت بیش از ۱۰۰ تصویر شناسنامه در یک کانال تلگرامی که ظاهراً از این نقض است، خطرات واقعی افشای هویت را نشان میدهد. کاربرانی که برای DMCA یا تأیید سن شناسنامه ارسال کردهاند، به ویژه آسیبپذیر هستند، زیرا آدرس فیزیکی آنها ممکن است در معرض خطر باشد.
کاربران چه باید بکنند
اگر ایمیلی از دیسکورد در مورد این حادثه دریافت میکنید، جزئیات را به دقت بررسی کنید. رمز عبور دیسکورد خود را تغییر دهید و اگر قبلاً این کار را نکردهاید، احراز هویت دو مرحلهای را فعال کنید. حسابهای مالی خود را برای فعالیت مشکوک، به ویژه اگر اطلاعات صورتحساب به دیسکورد مرتبط است، نظارت کنید. مراقب تلاشهای فیشینگ که ممکن است به نقض اشاره کنند، باشید. برای کسانی که عکسهای شناسنامه آنها افشا شده است، قرار دادن هشدار تقلب در پرونده اعتباری خود را در نظر بگیرید و هرگونه سرقت هویت را به مقامات مربوطه گزارش دهید. دیسکورد همچنان با مجریان قانون همکاری میکند، اما هوشیاری فردی برای کاهش آسیب احتمالی کلیدی است.