SeguridadDiscordFiltración de datosDouble CounterPrivacidad
Hackeo a un bot de Discord: 28 millones de cuentas expuestas
Un atacante entró a Double Counter, un bot de verificación externo, y copió 12 GB con IDs, IPs y correos. Discord no fue vulnerado y las contraseñas están a salvo.
El 4 de octubre un atacante pasó casi seis horas dentro de la infraestructura de Double Counter, un bot de seguridad externo que, según la empresa, usan más de 600.000 comunidades de Discord para detectar cuentas alternativas y conexiones por VPN. Se llevó unos 12 GB de una base de datos con información de hasta 28 millones de cuentas. Los sistemas de Discord no fueron vulnerados y no se filtraron contraseñas ni datos de tarjetas, pero el caso vuelve a poner la lupa sobre cuánta información juntan los bots de terceros.
Qué pasó
Tellter, la empresa francesa que opera el bot, publicó un informe del incidente el 5 de octubre. La puerta de entrada fue un servidor de su hosting anterior, en OVH, que ya no se usaba pero seguía encendido. Ahí corría Metabase, una herramienta de analítica accesible desde internet. Una vulnerabilidad en esa herramienta le permitió al atacante falsificar una sesión de administrador y llegar a dos credenciales de la nube de la empresa que estaban guardadas en el equipo.
Con esas credenciales hizo tres cosas. Tomó el token del bot y lo usó para publicar invitaciones a su propio servidor en unos 50 servidores grandes. Copió parte de una base de datos. Y usó una clave de pago robada para hacer cargos fraudulentos por US$ 7.316 sobre una tarjeta de la propia empresa, más dos cargos menores a clientes de otro producto de Tellter, que ya fueron reembolsados.
| Hora (UTC) | Hecho |
|---|---|
| 00:47 | El atacante entra al servidor viejo de OVH por la falla en Metabase. |
| 12:03 | Usa por primera vez una credencial robada en la nube de Double Counter. |
| 12:26 | Obtiene el token del bot de Discord. |
| 13:30 | El bot empieza a publicar invitaciones al servidor del atacante. |
| 15:09 a 15:34 | Copia unos 12 GB de la base de datos, hasta que la empresa le corta la sesión. |
| 17:11 | Hace los cargos fraudulentos con la clave de pago robada. |
| 17:54 | Última acción registrada del atacante: 5 horas y 51 minutos después de entrar a la nube. |
| 19:19 | El servicio vuelve a funcionar, con todas las credenciales cambiadas. |
Para la hora de Argentina hay que restar tres horas. Tellter dice que auditó 14 proyectos en la nube y no encontró ninguna puerta trasera.
Qué datos se llevaron
La empresa calculó qué se copió comparando los 12 GB que salieron con el tamaño de cada tabla. En dos casos la copia quedó a medias, pero como no puede saber qué filas salieron, da todo el conjunto por expuesto.
| Dato | Cuentas | Estado |
|---|---|---|
| ID y nombre de usuario de Discord | Unos 28 millones | Copia parcial, se da por expuesto |
| Dirección IP y ubicación aproximada (país, región, ciudad, código postal y proveedor de internet) | Unos 27 millones | Copia parcial, se da por expuesto |
| Hash del navegador (agente de usuario, ciudad y país) | Unos 25 millones | Copiado |
| Direcciones de correo | Cerca de 1 millón | Copiado |
Los correos no son de cualquier usuario de Discord. Unos 840.000 pertenecen a cuentas de Doogle, una herramienta de búsqueda para moderadores de la misma empresa, y otros 240.000 a usuarios del panel de Double Counter, administradores de servidores, clientes y anunciantes. El 7 de octubre, Have I Been Pwned sumó la filtración a su base con 274.922 correos únicos, después de que parte del material se publicara.
Lo que no se filtró:
- Contraseñas de Discord: nunca pasan por Double Counter.
- Datos de tarjetas: los guarda el procesador de pagos, no la empresa.
- El almacenamiento en frío: una base aparte con datos de unos 58 millones de usuarios, que está fuera de la infraestructura atacada.
- Los registros de detección de VPN: unos 15 millones, que no llegaron a copiarse.
Qué dijo Discord
Discord respondió el 7 de octubre desde su cuenta de soporte en X. Confirmó que sus sistemas no fueron vulnerados y avisó que bloqueó la instalación de Double Counter en servidores nuevos mientras investiga. No aclaró qué pasa con los servidores que ya lo tienen instalado.
La respuesta no alcanzó para calmar a la comunidad. En X, varios usuarios recordaron que llevan años advirtiendo sobre la cantidad de datos que recopila el bot, y otros señalaron que una lista de correos vinculados a cuentas de Discord es materia prima para campañas de phishing.
«El eslabón débil no fue Discord. Fue un servidor viejo que nadie apagó, con las llaves de la nube adentro.»
Qué hacer si usás Discord
- Si sos usuario: no hace falta cambiar la contraseña ni tocar nada en tu cuenta. No entres a servidores promocionados por mensajes inesperados de Double Counter.
- Si administrás un servidor: borrá los mensajes del bot enviados el 4 de octubre entre las 9:00 y las 13:30 de Argentina (12:00 a 16:30 UTC) que inviten a otro servidor, y revisá el registro de auditoría en esa franja.
- Si te verificaste ese día y no recibiste el rol: repetí la verificación. El bot estuvo caído entre las 13:39 y las 14:49 UTC.
- Si usás Doogle, el panel o sos anunciante: tu correo quedó expuesto, así que esperá intentos de phishing. La empresa aclara que nunca pide contraseñas, tokens ni pagos por mail o mensaje privado.
Veredicto y balance
Que el ataque no haya sido contra Discord le cambia poco al usuario: para entrar a muchos servidores tuvo que pasar por un bot de terceros que guardó su IP y su ubicación aproximada. El punto de entrada fue de manual, un servidor retirado que seguía encendido con una herramienta sin actualizar y credenciales de administrador a mano. A favor de Tellter hay que decir que publicó una cronología minuto a minuto, algo poco habitual en estos casos. Lo que queda abierto es cuántos datos necesita retener un bot de verificación para hacer su trabajo, y llega justo cuando Discord empuja la verificación de edad, que también depende de proveedores externos.
Fuentes: informe del incidente de Double Counter, 3DJuegos, Digital Citizen.
Imagen de portada: servidores en el centro de datos NERSC, en Berkeley. Foto: Derrick Coetzee, Wikimedia Commons, dominio público (CC0). Recortada a 16:9.
¿Viste un error? Avisanos y lo corregimos.
