Identiteitsbewijzen 70.000 Discord gebruikers wereldwijd buitgemaakt na cyberaanval

Discord heeft bekendgemaakt dat bij een recente cyberaanval mogelijk identiteitsbewijzen van naar schatting 70.000 gebruikers wereldwijd zijn buitgemaakt. Eerder sprak het bedrijf nog over een “klein aantal” getroffen ID’s, maar nieuw onderzoek wijst uit dat het daadwerkelijke aantal aanzienlijk hoger ligt. Discord is momenteel bezig met het persoonlijk informeren van de getroffen gebruikers en benadrukt dat het incident is veroorzaakt door een beveiligingsinbreuk bij een externe dienstverlener waarmee het bedrijf samenwerkt voor klantenondersteuning.

Wat er precies is gebeurd

Volgens Discord richtte de cyberaanval zich niet direct op hun eigen servers, maar op een derde partij die namens het platform klantenserviceactiviteiten uitvoert. Deze partij beheerde onder meer gebruikerscommunicatie met de helpdesk. Tijdens de aanval zijn gegevens gestolen van gebruikers die eerder contact hadden opgenomen met de klantenservice van Discord.

Onder de buitgemaakte informatie bevinden zich:

• IP-adressen van gebruikers die contact hadden met de klantenservice,
• volledige chatgesprekken tussen gebruikers en medewerkers,
• gebruikersnamen op Discord,
• contactgegevens zoals e-mailadressen of telefoonnummers,
• en in sommige gevallen de laatste vier cijfers van creditcardnummers en informatie over aankopen via het platform, wanneer die tijdens het contact werden gedeeld.

Datalek bij handmatige leeftijdsverificatie

Een bijzonder risicovolle groep bestaat uit gebruikers die hun identiteitsbewijs (ID-kaart, paspoort of rijbewijs) hebben gedeeld met de klantenservice. Dit gebeurde vooral in het kader van Discords recente leeftijdsverificatieproces, dat bedoeld is om te controleren of gebruikers voldoen aan de minimumleeftijdsvereisten van het platform.

Bij deze verificatie konden gebruikers kiezen uit twee methoden:

1. Een geautomatiseerd verificatiesysteem, dat direct op de servers van Discord draait en volgens het bedrijf niet getroffen is door de aanval.

2. Een handmatige verificatie via de klantenservice, bedoeld voor gebruikers die het automatische systeem weigerden te gebruiken.

Juist deze tweede groep — de gebruikers die hun ID handmatig via de klantenservice hebben gedeeld — is mogelijk slachtoffer geworden van het datalek. Discord schat dat ongeveer 70.000 personen op die manier hun identiteitsdocument hebben geüpload.

Onzekerheid over de omvang

Hoewel Discord spreekt over 70.000 getroffen ID’s, beweren de aanvallers iets heel anders. De hackers stellen dat ze 1,5 terabyte aan data hebben buitgemaakt, waaronder naar eigen zeggen meer dan 2,1 miljoen foto’s en video’s van identiteitsbewijzen. Dat cijfer zou erop wijzen dat de daadwerkelijke impact van de aanval veel groter is dan Discord momenteel aangeeft. Vooralsnog is niet bevestigd of de beweringen van de hackers kloppen.

Reactie van Discord

Discord zegt dat het de inbreuk zeer serieus neemt en dat er maatregelen zijn genomen om de beveiliging van klantgegevens te versterken. Het bedrijf werkt samen met externe cybersecurityspecialisten en toezichthouders om de omvang van de schade volledig vast te stellen. Daarnaast worden alle getroffen gebruikers rechtstreeks op de hoogte gebracht en krijgen zij advies over hoe ze mogelijke identiteitsfraude kunnen voorkomen.

Discord benadrukt ten slotte dat de aanval geen directe toegang heeft verschaft tot gebruikersaccounts, wachtwoorden of betalingssystemen binnen het platform zelf. De kerninfrastructuur van Discord, waaronder de chatservers en authenticatiesystemen, zou niet zijn aangetast.

Toch wijst het incident op de risico’s van het delen van identiteitsdocumenten via handmatige verificatiekanalen en onderstreept het de noodzaak van strengere beveiligingsmaatregelen bij externe dienstverleners die met gevoelige gebruikersdata omgaan.

Door: Drifter