Discord постраждав від витоку даних — зачеплено щонайменше 70 000 користувачів

Соціальна платформа Discord повідомила про серйозний інцидент із безпекою: через злом стороннього підрядника могли бути скомпрометовані дані щонайменше 70 000 користувачів.

Що сталося: як стався витік

Злочинці проникли у систему вантажної компанії, яку Discord використовує для обробки апеляцій, пов’язаних із перевіркою віку та ідентичності користувачів. 
Коли платформа вважає, що користувач може бути неповнолітнім або що в регіоні діють суворі правила верифікації, від нього вимагають відправити селфі з офіційним документом (ID), де видно ім’я користувача. 
Саме ці фото разом із адресами IP, які можуть показати орієнтовне місце проживання, і були серед інформації, що потрапила до рук зловмисників.

Discord уже звернувся до постраждалих, але також з’явилися заяви хакерів, що вони вкрали майже 1,5 терабайта даних — значно більше, ніж офіційно підтверджено. Представники Discord заявляють, що ті обвинувачення — частина спроби шантажу.

Конфіденційність порушена: фото з документами — це надчутлива інформація, яка може бути використана для шахрайства чи крадіжки особистості.

IP-адреси та геолокація: ці дані дозволяють встановити приблизне місце перебування користувача, що підсилює ризики.

Ширший обсяг даних: існують заяви, що обсяги компрометованої інформації перевищують оприлюднену кількість користувачів.

Питання вікової перевірки (age verification): саме ця практика змусила користувачів надати такі чутливі дані, а тепер викликає занепокоєння щодо її безпеки.

Наслідки для користувачів та платформи

Користувачам слід звернути увагу на сповіщення від Discord, перевірити, чи їх акаунт потрапив до списку постраждалих.

Варто бути обережними з фішинг-листи або шахрайськими повідомленнями, які можуть використовувати розкриті дані для маскування атаки.

Платформа може втратити довіру з боку спільноти — особливо поціновувачів приватності.

Що може зробити Discord (і що має зробити)

Провести повний аудит безпеки у всіх зовнішніх партнерів, щоб уникнути повторних проникнень.

Впровадити шифрування даних на стороні підрядників, обмежити доступ до чутливих матеріалів.

Запропонувати постраждалим інструменти компенсації або захисту, наприклад, моніторинг кредитної історії.

Переглянути практику верифікації віку, можливо змінити її так, щоб надсилання ID було мінімальним та найменш ризикованим.

Покращити комунікацію та прозорість — детально інформувати спільноту про заходи, що вживаються.