概要
Discordで61万以上のサーバーに導入され、1億1800万件以上のアカウントを検証してきたなりすまし防止Bot「Double Counter」が、データ侵害を受けたことが明らかになった。侵入口となったのは、運営チームが監視を怠っていた旧サーバー上で稼働していた分析ツール「Metabase」の脆弱性で、攻撃者はこれを突いて不正アクセスに成功し、この侵害は10月5日に公開されたインシデントレポートで公表された。最大2800万件のDiscordアカウントに関わる情報が影響を受けたとみられ、ユーザー名、IPアドレス、都市レベルの位置情報、利用しているISP(インターネットサービスプロバイダ)の情報などが流出した。このうち約100万件についてはメールアドレスも完全に窃取されたという。Discordは当該Botの新規インストールを一時的に停止する対応を取った。
侵害の経緯
報道によれば、攻撃者はまずDouble Counterが放置していた旧式の未監視サーバーに侵入し、そこからBotがDiscordへログインするためのパスワード(認証トークン)を直接入手した。運営スタッフが侵害に気づいてパスワードを変更した後も、攻撃者はわずか2分後に新しいパスワードを再び取得しており、対応の後手に回った様子がうかがえる。この間、攻撃者は約12GBのデータをおよそ25分間で外部に抽出したとされる。Double Counterを運営するTellter社は、どのIPレコードが実際に盗まれたかを特定できないため、保有する全てのIP記録が流出したものとして扱う方針を示した。同社はフランスのデータ保護当局に通報するとともに、刑事告訴の手続きも進めているという。
流出範囲と有料会員への影響
別の報道では、流出件数をメールアドレスとDiscordユーザー名の組み合わせで約27万5000件と報じており、全体像についてやや数値の差がある。これは侵害の対象範囲や集計方法の違いによるとみられるが、いずれの報道でも、流出データに地理的位置情報が含まれていたことで一致している。さらに、Stripe経由で決済していた有料会員については、氏名や郵便番号も含まれていたことが確認された。一方、パスワードや請求情報(クレジットカード番号など)そのものは流出していないとされ、金銭的被害の直接的なリスクは限定的とみられる。ただし、流出データのうち約25%は既にHave I Been Pwnedのデータベースに登録されており、フィッシング詐欺や不審なダイレクトメッセージへの警戒が呼びかけられている。
背景と今後の見通し
Discordを取り巻くこの種のサードパーティBot経由のデータ侵害は今回が初めてではない。2025年にも、サードパーティベンダーを通じて7万人分の政府発行ID画像が流出する事件が起きており、プラットフォーム全体でのサプライチェーンリスクが改めて浮き彫りになった。また、今回の事件はGTA6の情報漏洩を巡る捜査でTake-TwoがDiscordサーバーのIPログ提出を求めていた時期と重なっており、ユーザーの身元特定につながりかねない位置情報やISP情報の流出が特に懸念されている。Discordは「Double Counterと協力して侵害の全容を把握しており、適切な追加対応を取る」とコメントしており、今後Bot自体の審査体制や、サードパーティ連携における認証情報の管理方法の見直しが進むかが注目される。