Hackare påstår sig ha stulit så många som 2,1 miljoner foto-ID i 1,5 TB Discord-dataintrång

Hackare som tar på sig ansvaret för ett stort intrång på hos Discord har eskalerat sina hot genom att säga att de har 1,5 terabyte åldersverifieringsfoton, bestående av 2 185 151 bilder av statligt utfärdade ID, såsom pass, körkort, tillsammans med selfies som skickats in av användare under automatiserade överklaganden om ålderskontroll.

Hackarna i fråga utnyttjar den stulna användarinformationen för att utpressa en lösen från Discord. Säkerhetsöverträdelsen har dragit ett utbrett larm om risker för identitetsstöld och phishing-risker, särskilt med tanke på att Discord rymmer över 250 miljoner aktiva användare varje månad.

Situationen rapporterades först av cybersäkerhetsspårare som Hackmanac och Discord Previews online. Åldersverifieringssystemet förstärker bara oro över datalagringspraxis och regleringstryck för åldersverifiering i regioner som Storbritannien och Australien.

Säkerhetsöverträdelsen går tillbaka till 20 september, då en obehörig individ komprometterade Discords tredjeparts kundtjänstleverantör, Zendesk, vilket gav dem tillgång till biljettsystem utan att direkt infiltrera Discords kärninfrastruktur.

Discord upptäckte avvikelsen kort därefter och meddelade händelsen offentligt den 3 oktober och uppgav att endast ett begränsat antal användare, som hade kontaktat kundsupport eller förtroende- och säkerhetsteam, var i riskzonen.

I sin officiella uppdateringbeskriver företaget omfattningen av intrånget och nämner att angriparen uttryckligen syftade till att extrahera data för utpressning, ett beräknat drag som har skickat vågor in i andra sektorer som kryptovaluta, där Zendesk är känt för att betjäna utbyten som BtcTurk och HTX, som båda var offer för hackningar på flera miljoner dollar tidigare.

Enligt Discords pressmeddelande består den komprometterade informationen av namn, användarnamn, e-postadresser och andra kontaktuppgifter som delats med support, inklusive partiell faktureringsdata som betalningstyper, de fyra sista siffrorna i kreditkorten och köphistorik, IP-adresser, konversationer med kundsupportagenter och begränsat internt material som utbildningsdokument och presentationer.

Frånvarande från läckorna är fullständiga kreditkortsnummer, CVV-koder, privata meddelanden och lösenord. Medan Discord erkände att hackarna fick tillgång till "ett litet antal statliga ID-bilder" från överklaganden om åldersverifiering, hävdar hackare att de har över två miljoner sådana filer, potentiellt skördade innan automatiserade raderingar kunde inträffa.

Discord har börjat skicka e-post till berörda personer och uppmanar användarna att vara uppmärksamma på misstänkt kommunikation.