Discord xác nhận vụ hack nhà cung cấp hỗ trợ làm lộ dữ liệu người dùng và ID chính phủ

Vụ vi phạm dữ liệu Discord diễn ra như thế nào

Đầu tháng 10 năm 2025, Discord xác nhận một sự cố bảo mật nghiêm trọng liên quan đến nhà cung cấp dịch vụ chăm sóc khách hàng bên thứ ba, ảnh hưởng đến những người dùng đã liên hệ với bộ phận Hỗ trợ Khách hàng hoặc Nhóm Tin cậy & An toàn. Vụ vi phạm xảy ra vào ngày 20 tháng 9 năm 2025, không phải là cuộc tấn công trực tiếp vào hệ thống nội bộ của Discord mà là sự xâm phạm môi trường ticket hỗ trợ của nhà cung cấp. Những kẻ tấn công, tự xưng là Scattered Lapsus$ Hunters (SLH), đã đánh cắp khoảng 1,6 terabyte dữ liệu, bao gồm thông tin nhạy cảm của người dùng và hình ảnh ID chính phủ được sử dụng cho các yêu cầu xác minh độ tuổi.

Nhà cung cấp 5CA được xác định là điểm xâm nhập

Discord công khai xác định 5CA, một công ty trải nghiệm khách hàng có trụ sở tại Hà Lan, là nhà cung cấp bên thứ ba có môi trường bị xâm phạm. Theo tuyên bố cập nhật của Discord vào ngày 9 tháng 10 năm 2025, bên trái phép đã truy cập vào hệ thống ticket hỗ trợ của 5CA, xâm nhập vào bảng điều khiển nội bộ, chi tiết thanh toán và ảnh ID chính phủ. Tuy nhiên, 5CA nhanh chóng đưa ra lời phủ nhận, tuyên bố hệ thống của họ không bị xâm phạm và họ không xử lý ID do chính phủ cấp cho Discord. Sự mâu thuẫn này đã gây ra sự nhầm lẫn, với 5CA cho rằng sự cố có thể bắt nguồn từ lỗi của con người chứ không phải do vi phạm hệ thống trực tiếp.

Dữ liệu nào đã bị lộ?

Dữ liệu bị đánh cắp bao gồm tên, tên người dùng Discord, địa chỉ email, địa chỉ IP và bản ghi tương tác hỗ trợ khách hàng. Quan trọng hơn, Discord xác định khoảng 70.000 người dùng có hình ảnh ID chính phủ (như bằng lái xe và hộ chiếu) có thể đã bị truy cập. Thông tin thanh toán hạn chế—loại thanh toán, bốn chữ số cuối của thẻ tín dụng và lịch sử mua hàng—cũng bị rò rỉ. Discord đảm bảo rằng số thẻ tín dụng đầy đủ, mật khẩu và tin nhắn riêng tư ngoài kênh hỗ trợ vẫn an toàn.

Nhóm hacker và yêu cầu của chúng

Tác nhân đe dọa được gọi là Scattered Lapsus$ Hunters (SLH) đã nhận trách nhiệm, được cho là một liên minh kết hợp chiến thuật từ Scattered Spider, Lapsus$ và ShinyHunters—những nhóm khét tiếng chuyên nhắm vào các nhà cung cấp bên thứ ba. SLH đã cố gắng tống tiền Discord, ban đầu tuyên bố nắm giữ hơn 2 triệu ảnh ID chính phủ, mặc dù cuộc điều tra nội bộ của Discord đã xác định con số khoảng 70.000. Discord từ chối trả tiền chuộc và đã liên hệ với cơ quan thực thi pháp luật để truy tìm thủ phạm.

Các hành động ngay lập tức của Discord

Sau khi phát hiện, Discord đã thu hồi quyền truy cập của nhà cung cấp vào hệ thống ticket và chấm dứt quan hệ đối tác. Công ty đã tiến hành điều tra nội bộ với một công ty pháp y máy tính hàng đầu và thông báo cho các cơ quan bảo vệ dữ liệu có liên quan. Người dùng bị ảnh hưởng đang được liên hệ qua email từ noreply@discord.com, và Discord nhấn mạnh rằng họ sẽ không bao giờ gọi điện cho người dùng về các vấn đề bảo mật. Công ty cũng nhắc lại rằng cơ sở hạ tầng cốt lõi của họ vẫn không bị xâm phạm.

Bài học cho người dùng và ngành

Sự cố này nhấn mạnh rủi ro của các cuộc tấn công chuỗi cung ứng, nơi kẻ tấn công khai thác các đối tác bên thứ ba kém an toàn hơn. Đối với người dùng Discord, vụ vi phạm này nhấn mạnh tầm quan trọng của việc bảo vệ tài khoản bằng mật khẩu mạnh và bật xác thực hai yếu tố. Người dùng cũng nên thận trọng khi chia sẻ thông tin nhạy cảm như ID chính phủ, ngay cả khi yêu cầu hợp pháp. Sự mâu thuẫn giữa tuyên bố của Discord và 5CA chỉ ra nhu cầu quản lý rủi ro nhà cung cấp minh bạch hơn và các quy trình ứng phó sự cố mạnh mẽ trên toàn ngành.