- サードパーティの顧客サポートプロバイダーが侵害され、世界中で約70,000万人のユーザーのID写真が公開されました。
- 漏洩したデータには、名前、ユーザー名、電子メール、IP アドレス、支払いカードの下 4 桁が含まれる可能性がありますが、パスワードやカード番号全体は取得されていません。
- Discordは影響を受けたユーザーに連絡を取り、システムのセキュリティを確保し、ベンダーとの作業を終了し、法執行機関およびデータ保護当局と協力しています。
- 広報担当者によると、年齢確認に関連した1.5TBのキャッシュの主張は不正確であり、恐喝の試みと関連があると判断された。
Discordは、セキュリティインシデントが発生したことを確認しました。 侵害されたサードパーティの顧客サポートプロバイダーその結果、世界中で約70,000万人のユーザーの身分証明書の写真が流出しました。同社は基幹システムへの直接アクセスはなかったと強調していますが、この侵害は審査を支援するベンダーにも影響を及ぼしました。 年齢関連の訴え プラットフォーム上で
同社の広報担当者によると、この事件は調査と連携した対応のきっかけとなった。1.5テラバイトに及ぶ膨大なデータに関する世間の噂は解消された。 不正確であり、恐喝の試みと関連しているDiscordは違法行為を奨励するつもりはないとしている。
何が起こり、どのようにして侵害が発生したのか
この攻撃は、Discordが顧客サポートのために利用している外部プロバイダーを標的としており、その中には信頼性と安全性に重点を置くチームも含まれていました。このベンダーは、例えば以下のような公的身分証明書の画像を収集しています。 パスポートと運転免許証具体的には、ユーザーの年齢ステータスに関する異議申し立てを検証するためであり、このプロセスでは場合によっては文書の確認が必要になります。
攻撃者はベンダーに侵入することで、助けを求めるユーザーが提出した特定の記録にアクセスしました。Discordは、自社のシステムに直接侵入されたわけではなく、侵入経路は サードパーティシステム Discord のインフラストラクチャではなく。
漏洩した情報
Discordは、公開されたデータセットには複数のカテゴリーの個人情報が含まれている可能性があると述べている。最も機密性の高い要素は、 身分証明書の写真 年齢確認および関連する異議申し立てに関連しています。
- 身分証明書の画像（年齢確認および異議申し立て用）
- 名前とDiscordユーザー名
- メールアドレスとIPアドレス
- 決済カード番号の最後の4桁
同社はさらに、 パスワードとカード番号全体は漏洩していないそのため、ユーザーはパスワードの漏洩のみを理由に資格情報をリセットする必要はありませんが、追加の安全対策を講じることが依然として推奨されます。
影響の範囲
Discordは、影響を受けたアカウントのおおよその数を 世界中で約70,000万人のユーザーこの数字は、攻撃者がアクセスしたベンダーのデータセットに身分証明書の写真が含まれていた人々について具体的に言及しています。
この事件は深刻だが、ディスコードは 主要システムへの直接的な侵害はない、その漏洩はサポート ワークフローのためにサードパーティ プロバイダーによって処理されるデータに限定されていました。
企業の対応と継続的な取り組み
広報担当者は、Discordが 影響を受けるすべてのユーザーに連絡しました また、法執行機関、データ保護当局、外部のセキュリティ専門家との連携を継続しています。これらの措置は、感染拡大の封じ込め、通知、および適用可能な規制の遵守を確保することを目的としています。
Discordは、 影響を受けたシステムを保護し 同社は、影響を受けたベンダーとの関係を終了した。同社は、恐喝行為の背後にいる者に対し、いかなる金銭や利益も提供しないことを強調し、そのような主張は違法であり、また、 誤解を招く.
侵害に関する誤情報への対処
ソーシャルメディアで広まっている報告によると、攻撃者は約 1.5TBの年齢確認写真Discordの広報担当者はこれらの主張に対し反論し、それらは不正確であり、同社に圧力をかけるためのより広範な取り組みの一環だと指摘した。
この説明は記録を訂正し、不必要なパニックを軽減するために行われた。広報担当者によると、検証済みの範囲は 影響を受けたユーザー約70,000万人マルチテラバイトのキャッシュではありません。
影響を受けたユーザーが今できること
パスワードや決済カード番号全体が流出したわけではありませんが、リスクを軽減するためにユーザーが取ることができる慎重な対策があります。これらの対策は、潜在的な影響に対処するのに役立ちます。 身分証明書の写真と連絡先データ 暴露。
- Discord アカウントで多要素認証を有効にします (まだアクティブでない場合)。
- たとえ実際の詳細を参照しているとしても、個人データや支払いを要求するメッセージには特に注意してください。
- アカウントにリンクされたメール アドレスを監視して、フィッシングの試みがないか確認します。
- Discord および関連付けられているメール アカウントの最近のアクティビティを確認し、異常がないか確認します。
- 政府発行の身分証明書の画像を共有した場合は、クレジットまたは身元監視サービスを検討してください。
攻撃者は武器化しようとする可能性があるため、ソーシャルエンジニアリングに対して警戒を怠らないことが重要です。 部分的な個人情報 他の場所でさらにアクセスできるようにする。
規制と法律の調整
Discordは、 法執行機関およびデータ保護当局これには通常、侵害の通知、証拠の保存、調査の進行に応じた継続的な更新が含まれます。
同社はまた、 外部のセキュリティ専門家 封じ込めを検証し、ベンダーのセキュリティ体制の徹底的なレビューをサポートします。
ベンダーの違反がなぜ重要なのか
サードパーティプロバイダーは、年齢確認などの機密性の高いワークフローを扱うことが多いため、魅力的な標的となります。プラットフォームのコアシステムが損傷を受けていない場合でも、攻撃者はアクセスすることができます。 高価値の個人データ ユーザーの投稿を処理するベンダー経由で。
この事件は、次のような強力なベンダー管理の重要性を強調しています。 セキュリティ管理、監査、インシデント対応 契約および継続的な運用に組み込まれます。
Discordの最新アップデートでは、より明確な状況が描かれている。 サードパーティサポートベンダーの侵害 約70,000万人のユーザーの身分証明書用写真と一部の関連個人情報が影響を受けましたが、パスワードやカード番号全体は影響を受けていませんでした。同社は影響を受けたユーザーに通知し、ベンダーとの取引を停止し、影響を受けたシステムのセキュリティを確保しました。また、恐喝疑惑に関連する誇張された主張を否定しつつ、当局と協力しています。
