Discord: 28 miljoen accounts getroffen door datalek

Samenvatting

Discord is via Double Counter geraakt door een datalek waarbij gegevens van mogelijk 28 miljoen accounts zijn ingezien.

Discord en het datalek

Discord is opnieuw indirect getroffen door een cyberaanval via een derde partij. Double Counter, een geautomatiseerde moderatietool voor Discord-servers, meldt dat aanvallers toegang kregen tot de opslag van het bedrijf.

De aanval begon op een oude server met een kwetsbaarheid in een analyticstool. De buit omvat zeker een miljoen e-mailadressen en 25 miljoen gehashte codes voor gebruikersidentificatie. Daarnaast zijn ongeveer 28 miljoen gebruikersnamen en accountnamen ingezien. Van 27 miljoen IP-adressen en bijbehorende fysieke locaties is niet duidelijk hoeveel gegevens daadwerkelijk zijn gestolen; Double Counter beschouwt ze wel als gecompromitteerd.

Voor zover bekend zijn geen gevoeligere gebruikersgegevens buitgemaakt. De aanvallers voerden volgens Double Counter een gerichte meertrapsaanval uit. De moderatietool gebruikt de gehashte codes om alternatieve accounts, zogenoemde alts, te herkennen.

Waarom Discords datalek telt

De aanval laat zien hoe een analysetool op een oude server toegang kan bieden tot bedrijfsopslag. Voor BI- en datateams zit het risico daarom niet alleen in het primaire platform, maar ook in ondersteunende software, bots en externe diensten die gegevens verwerken.

Hashing beperkt de directe leesbaarheid van identificatiecodes, maar maakt de gegevens niet automatisch onschadelijk. IP-adressen, locaties en e-mailadressen vormen samen een duidelijk profiel van gebruikers. Teams die externe analysetools koppelen aan opslag moeten daarom niet alleen naar rapportagefunctionaliteit kijken, maar ook naar serverbeheer, toegangsrechten en de gegevens die een leverancier bewaart.

Discord werd eerder indirect geraakt: op 4 oktober 2025 werd bekend dat een extern klantenservicebedrijf was gehackt en ID-bewijzen waren gestolen. Het is onduidelijk waarom betrokken derden opnieuw doelwit werden.

Concrete takeaway voor BI-teams

Breng alle analyticstools en externe bots met toegang tot opslag in kaart, controleer oude servers en beperk toegangsrechten tot de gegevens die de toepassing werkelijk nodig heeft.