- Penyedia dukungan pelanggan pihak ketiga telah diretas, sehingga mengekspos sekitar 70,000 foto identitas pengguna di seluruh dunia.
- Data yang terekspos dapat mencakup nama, nama pengguna, email, alamat IP, dan empat digit terakhir kartu pembayaran; tidak ada kata sandi atau nomor kartu lengkap yang diambil.
- Discord menghubungi pengguna yang terkena dampak, mengamankan sistem, mengakhiri kerja sama dengan vendor, dan bekerja sama dengan penegak hukum dan otoritas perlindungan data.
- Klaim mengenai cache sebesar 1.5 TB yang terkait dengan verifikasi usia dianggap tidak akurat dan dikaitkan dengan upaya pemerasan, menurut seorang juru bicara.
Discord telah mengkonfirmasi insiden keamanan yang melibatkan penyedia dukungan pelanggan pihak ketiga yang diretas , yang mengakibatkan terungkapnya foto dokumen identitas sekitar 70,000 pengguna di seluruh dunia. Meskipun perusahaan menekankan bahwa sistem intinya tidak diakses secara langsung, pelanggaran tersebut memengaruhi vendor yang membantu meninjau banding terkait usia di platform tersebut.
Menurut juru bicara perusahaan, insiden tersebut telah memicu penyelidikan dan respons terkoordinasi. Perbincangan publik tentang kumpulan data besar sebesar 1.5 TB telah ditanggapi: angka-angka tersebut tidak akurat dan terkait dengan upaya pemerasan , dan Discord mengatakan tidak berniat untuk memberi penghargaan kepada perilaku yang melanggar hukum.
Apa yang terjadi dan bagaimana pelanggaran terjadi
Serangan tersebut menargetkan penyedia eksternal yang digunakan oleh Discord untuk dukungan pelanggan, termasuk tim yang fokus pada Kepercayaan & Keamanan. Vendor tersebut mengumpulkan gambar identitas resmi—seperti paspor dan SIM —khusus untuk memvalidasi banding terkait status usia pengguna, sebuah proses yang terkadang memerlukan peninjauan dokumen.
Dengan meretas vendor, penyerang memperoleh akses ke catatan-catatan tertentu yang dikirimkan oleh pengguna yang mencari bantuan. Discord menyatakan bahwa sistem mereka sendiri tidak disusupi secara langsung, dan jalur peretasan terjadi melalui sistem pihak ketiga, bukan melalui infrastruktur Discord.
Informasi apa yang terungkap?
Discord menyatakan bahwa kumpulan data yang bocor mungkin mencakup beberapa kategori informasi pribadi. Elemen yang paling sensitif adalah keberadaan foto dokumen identitas yang terkait dengan verifikasi usia dan banding terkait.
- Gambar dokumen identitas (untuk verifikasi usia dan banding)
- Nama dan nama pengguna Discord
- Alamat email dan alamat IP
- Empat digit terakhir nomor kartu pembayaran
Perusahaan menambahkan bahwa kata sandi dan nomor kartu lengkap tidak dibocorkan . Akibatnya, pengguna tidak perlu mengatur ulang kredensial mereka hanya karena kebocoran kata sandi, meskipun langkah-langkah pengamanan tambahan tetap disarankan.
Ruang lingkup dampak
Discord memperkirakan jumlah akun yang terdampak mencapai sekitar 70,000 pengguna di seluruh dunia . Angka tersebut secara khusus merujuk pada mereka yang foto dokumen identitasnya termasuk dalam kumpulan data vendor yang diakses oleh penyerang.
Meskipun insiden ini serius, Discord menegaskan kembali bahwa tidak ada pelanggaran langsung terhadap sistem utamanya , dan kebocoran data terbatas pada data yang diproses oleh penyedia pihak ketiga untuk alur kerja dukungan.
Tanggapan perusahaan dan tindakan yang sedang berlangsung
Seorang juru bicara mengkonfirmasi bahwa Discord telah menghubungi semua pengguna yang terdampak dan terus berkoordinasi dengan penegak hukum, otoritas perlindungan data, dan pakar keamanan eksternal. Langkah-langkah ini bertujuan untuk memastikan penanganan, pemberitahuan, dan kepatuhan terhadap peraturan yang berlaku.
Discord menyatakan telah mengamankan sistem yang terdampak dan mengakhiri hubungannya dengan vendor yang terlibat. Perusahaan tersebut menekankan bahwa mereka tidak akan memberikan pembayaran atau keuntungan apa pun kepada pihak yang berada di balik upaya pemerasan tersebut, dan menegaskan bahwa klaim tersebut melanggar hukum dan menyesatkan.
Menangani misinformasi tentang pelanggaran
Laporan yang beredar di media sosial menuduh bahwa penyerang memperoleh sekitar 1.5 TB foto verifikasi usia . Juru bicara Discord membantah klaim tersebut, mencatat bahwa klaim itu tidak akurat dan merupakan bagian dari upaya yang lebih luas untuk menekan perusahaan.
Klarifikasi tersebut dibagikan untuk meluruskan informasi dan mengurangi kepanikan yang tidak perlu. Menurut juru bicara tersebut, cakupan yang terverifikasi tetap sekitar 70,000 pengguna yang terdampak , bukan cache multi-terabyte.
Apa yang dapat dilakukan oleh pengguna yang terdampak sekarang
Meskipun kata sandi dan nomor kartu pembayaran lengkap tidak terungkap, ada langkah-langkah bijak yang dapat dilakukan pengguna untuk mengurangi risiko. Langkah-langkah ini dapat membantu mengatasi potensi dampak negatif dari terungkapnya foto identitas dan data kontak .
- Aktifkan autentikasi multifaktor pada akun Discord Anda (jika belum aktif).
- Berhati-hatilah dengan pesan yang meminta data pribadi atau pembayaran, meskipun pesan tersebut merujuk pada rincian sebenarnya.
- Pantau alamat email yang terhubung ke akun Anda untuk mendeteksi upaya phishing.
- Tinjau aktivitas terkini di Discord Anda dan akun email terkait untuk mengetahui hal-hal yang tidak biasa.
- Pertimbangkan layanan pemantauan kredit atau identitas jika Anda membagikan gambar tanda pengenal pemerintah.
Tetap waspada terhadap rekayasa sosial sangat penting, karena penyerang mungkin mencoba menggunakan sebagian informasi pribadi sebagai senjata untuk mendapatkan akses lebih lanjut di tempat lain.
Koordinasi regulasi dan hukum
Discord telah menyatakan bahwa mereka berkolaborasi dengan penegak hukum dan otoritas perlindungan data . Hal ini biasanya melibatkan pemberitahuan pelanggaran, pelestarian bukti, dan pembaruan berkelanjutan seiring perkembangan investigasi.
Perusahaan tersebut juga menyebutkan bekerja sama dengan pakar keamanan eksternal untuk memvalidasi penahanan dan mendukung tinjauan menyeluruh terhadap postur keamanan vendor.
Mengapa pelanggaran vendor penting
Penyedia pihak ketiga sering menangani alur kerja sensitif, seperti verifikasi usia, sehingga menjadikannya target yang menarik. Bahkan ketika sistem inti suatu platform tetap utuh, penyerang masih dapat mengakses data pribadi bernilai tinggi melalui vendor yang memproses pengajuan pengguna.
Insiden ini menggarisbawahi pentingnya manajemen vendor yang kuat, termasuk kontrol keamanan, audit, dan respons insiden yang terintegrasi dalam kontrak dan operasional yang berkelanjutan.
Pembaruan terbaru Discord memberikan gambaran yang lebih jelas: pelanggaran keamanan oleh vendor dukungan pihak ketiga memengaruhi sekitar 70,000 foto ID pengguna dan beberapa detail pribadi terkait, tetapi tidak termasuk kata sandi atau nomor kartu lengkap. Perusahaan telah memberi tahu pengguna yang terdampak, memutuskan hubungan dengan vendor tersebut, mengamankan sistem yang terpengaruh, dan bekerja sama dengan pihak berwenang sambil menolak klaim yang berlebihan terkait dugaan pemerasan.
