Para: usuarios de Discord que se verificaron con el bot Double Counter, administradores de servidores que lo usan y personas que gestionan herramientas de analítica autoalojadas. Este artículo se basa en el propio informe del operador y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Número exacto de personas afectadas
- Qué copias publicadas de los datos se han retirado
- Resultado de la revisión de la autoridad de protección de datos
- Resultado de la denuncia penal
El informe del operador está fechado el 5 de octubre y se actualizó a la versión 2.0 el 21 de octubre. Dice que el incidente está contenido, que el servicio se restableció con credenciales nuevas y que se ha solicitado retirar las copias publicadas de los datos. A fecha del 30 de octubre no encontramos ninguna versión posterior.
Qué hacer hoy
Miembros: no actúe ante mensajes que usen su ID de Discord, su correo o su dirección IP
Los datos filtrados permiten redactar un mensaje que parece específico para usted, por ejemplo «su cuenta de Double Counter está afectada» con un enlace. El operador dice que nunca pide contraseñas, tokens ni pagos por correo o mensaje privado. Si recibe un correo sobre el incidente, no pulse el enlace; abra usted mismo el sitio web del operador (véase ¿Qué es el phishing?).
No necesita cambiar su contraseña de Discord por este incidente. Aun así, conviene tener un segundo factor de inicio de sesión en Discord.
Miembros: vuelva a verificarse solo si le afectó la ventana de verificación
El operador dice que, si se verificó entre las 13:39 y las 14:49 UTC del 4 de octubre y no recibió su rol, debe verificarse de nuevo. Si no, no hace falta ninguna acción.
Administradores de servidores: elimine las publicaciones de invitación y revise su registro de auditoría
El operador dice que se publicaron invitaciones al servidor del atacante como si fueran de Double Counter en unos 50 servidores grandes, a partir de las 13:30 UTC del 4 de octubre. Elimine cualquier mensaje de Double Counter del 4 de octubre, de 12:00 a 16:30 UTC, que invite a otro servidor, y revise su registro de auditoría en busca de acciones de Double Counter en esa ventana.
Clientes de bots, anunciantes y API: trate como falsos los mensajes relacionados con pagos
El operador dice que él mismo contacta con los clientes afectados de sus productos de pago. Los clientes deben desconfiar de falsos mensajes de pago o reembolso. La marca de la tarjeta, la fecha de caducidad y los últimos cuatro dígitos junto con un nombre y una dirección de facturación bastan para una factura falsa convincente.
Si tiene su propio bot de Discord, rote su token
El operador dice que el atacante leyó el token del bot desde un contenedor y lo usó para actuar como el bot. Es un recordatorio general, no una afirmación sobre su bot: guarde los tokens en un almacén de secretos y no en archivos de texto plano, restrinja los permisos que da al bot y restablezca el token siempre que sospeche una exposición.
Qué pasó (según el informe del operador)
Lo siguiente se basa en el informe del incidente publicado por Tellter SAS, el operador de Double Counter, el 5 de octubre de 2026 y actualizado a la versión 2.0 el 21 de octubre (consultado el 30 de octubre). Las horas son UTC.
3 de octubre, 05:28
Comenzó el sondeo de los sistemas del operador desde direcciones VPN rotativas.4 de octubre, 00:47
El atacante inició sesión en un servidor retirado de un proveedor de alojamiento, a través de una instancia de Metabase autoalojada y accesible públicamente en ese servidor.4 de octubre, 12:03 a 17:54
Actividad dentro del proyecto en la nube, 5 horas y 51 minutos en total. El operador dice que el atacante exportó una base de datos (5,0 GB, que según el informe nunca se descargó), leyó el token del bot, copió unos 12 GB y cambió la contraseña de administrador de la base de datos.4 de octubre, 13:30
Empiezan a aparecer invitaciones al servidor del atacante en unos 50 servidores grandes de Discord.4 de octubre, 17:54 y 19:19
La última acción registrada en la infraestructura en la nube y, después, el servicio restablecido con credenciales nuevas.5 de octubre
Informe publicado. Se notificó a la autoridad francesa de protección de datos (CNIL).21 de octubre
Versión 2.0 del informe. Comenzaron los correos de notificación a cerca de 1 millón de personas en virtud del RGPD y se presentó una denuncia penal ante la fiscalía de París.
- IDs y nombres de usuario de Discord
- Unos 28 millones de registros, copiados en parte y tratados como expuestos
- Direcciones IP y ubicación aproximada
- Unos 27 millones de registros, copiados en parte y tratados como expuestos
- Datos de dispositivo
- Unos 25 millones de registros de user-agent, ciudad y país con hash, usados para detectar cuentas secundarias. Copiados
- Direcciones de correo
- Unos 1,0 millones, sin duplicados. Copiadas
- Registros de detección de VPN
- Unos 15 millones. El operador dice que no se copiaron
- Clientes de productos de pago
- Unos 5.000 registros con nombre, correo, ID de Discord, dirección de facturación, plan, historial de pagos, marca de tarjeta, fecha de caducidad y últimos cuatro dígitos. Copiados, en parte publicados
- No afectados
- Contraseñas de Discord, que el bot nunca recibió. Números completos de tarjeta y códigos de seguridad, que solo guarda el proveedor de pagos
- Medidas adoptadas
- Eliminó la credencial robada, revocó las sesiones de administrador, eliminó la clave de acceso del atacante, apagó el servidor heredado, restableció el token del bot, eliminó diez webhooks expuestos, cerró la base de datos a internet, rotó las credenciales, cerró la sesión del personal y activó la monitorización
Servidor retirado, Metabase accesible desde internet
↓→
Sesión de administrador falsificada
Dos credenciales de la nube encontradas en ese servidor (clave de administrador, sesión guardada)
↓→
Base de datos exportada, unos 12 GB copiados
Token del bot leído desde un contenedor
↓→
Bot usado para publicar invitaciones en unos 50 servidores grandes
Qué se sabe y qué no
Estado a fecha del 30 de octubre de 2026. Cuando el operador publique más, actualizaremos la columna de estado.
| Elemento | Qué dice el operador | Estado |
|---|---|---|
| IDs y nombres de usuario de Discord | Unos 28 millones; copiados en parte | Tratados como expuestos (operador) |
| Direcciones IP y ubicación aproximada | Unos 27 millones; copiadas en parte | Tratadas como expuestas (operador) |
| Datos de dispositivo con hash | Unos 25 millones | Filtración confirmada (operador) |
| Direcciones de correo | Unos 1,0 millones, sin duplicados | Filtración confirmada (operador) |
| Registros de detección de VPN | Unos 15 millones | No copiados (operador) |
| Registros de clientes de productos de pago | Unos 5.000; en parte publicados | Filtración confirmada (operador) |
| Contraseñas de Discord | El bot nunca las recibió | No afectadas (operador) |
| Números completos de tarjeta y códigos de seguridad | Solo los guarda el proveedor de pagos | No afectados (operador) |
| Uso indebido del bot | Publicaciones de invitación en unos 50 servidores grandes; prácticamente todas eliminadas | Uso indebido confirmado (operador) |
| Cobros con tarjeta en otro producto de Tellter | 23 de 40 cobros intentados tuvieron éxito por 7.331 dólares; reembolsados | Confirmado (operador) |
| Vía de entrada | Metabase autoalojado y accesible públicamente en un servidor retirado; sesión de administrador falsificada | Confirmado (operador); CVE sin nombrar |
| Puertas traseras dejadas | Ninguna en una auditoría de 14 proyectos en la nube | No se encontró ninguna puerta trasera (operador) |
| Regulador y fuerzas del orden | CNIL notificada el 5 de octubre; denuncia penal presentada el 21 de octubre | Confirmado (operador) |
| Retirada de las copias publicadas | Solicitada | En curso |
Cómo leer esto: «copiado en parte» es la expresión del operador
El operador trata los registros de IDs de Discord y de direcciones IP como expuestos aunque solo se copiara una parte. Las cifras son aproximadas, en palabras del operador. Este sitio no suma las categorías, porque una misma persona puede aparecer en varias.
Para qué pueden usarse estos datos
En general, estas combinaciones pueden usarse indebidamente como se describe. Esto no significa que haya ocurrido en este caso.
- ID y nombre de usuario de Discord: permite escribirle directamente o hacerse pasar por un bot o un moderador en un servidor que comparte
- Dirección IP y ubicación aproximada: indica más o menos dónde está y qué proveedor de internet usa; no es una dirección postal, pero hace que una amenaza o un mensaje de «sabemos dónde está» suene real
- Correo electrónico con ID de Discord: vincula su identidad de Discord con su correo, lo que puede usarse para atacarle fuera de Discord
- Datos de facturación de clientes de productos de pago: un nombre, una dirección de facturación y los últimos dígitos de la tarjeta bastan para una estafa creíble de reembolso o factura
Para quienes gestionan herramientas de analítica y bots
El operador dice que la vía de entrada fue una herramienta de analítica autoalojada en un servidor que había retirado pero no había quitado de internet, y que el atacante usó después dos credenciales de la nube guardadas en ese mismo servidor. Esto sigue a otras brechas a través del mismo tipo de herramienta; véase nuestro artículo sobre brechas por vulnerabilidades de Metabase. El operador no nombró ningún CVE para este incidente, por lo que no lo vinculamos con aquel.
De la propia versión del operador se derivan dos comprobaciones:
- Sistemas retirados: haga una lista de todos los servidores y herramientas que aún paga o para los que aún tiene DNS, y elimine los que ya no use. Compruebe desde fuera de su red qué herramientas de analítica, paneles y administración responden en internet.
- Credenciales que lo pueden todo: el operador informa de que el atacante usó una clave de cuenta de servicio con derechos de administrador y una sesión de administrador guardada. Dé a las cuentas de servicio solo los permisos que necesiten, fije vidas cortas para las sesiones guardadas y alerte ante una nueva clave SSH o un primer inicio de sesión en su proyecto en la nube.
En el caso concreto de los bots de Discord, el token es la identidad del bot. Cualquier cosa que pueda leerlo puede actuar como el bot en todos los servidores donde el bot tiene permisos, así que mantenga lo más ajustados posible los permisos que concede al bot.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No conjeturamos sobre técnicas no reveladas ni sobre quién fue el responsable.
- Tellter SAS (operador de Double Counter), informe del incidente «Security incident INC-2026-10-04» (5 de octubre de 2026; versión 2.0, 21 de octubre de 2026) — doublecounter.gg
Historial de actualizaciones
2026-10-30: Primera versión, basada en la versión 2.0 del informe del operador (21 de octubre), consultada el 30 de octubre. Actualizaremos este artículo cuando el operador publique una versión nueva.
Lectura recomendada
- El mismo tipo de vía de entrada: Brechas por vulnerabilidades de Metabase
- Estafas: ¿Qué es el phishing? / Guía de autenticación multifactor
- Contraseñas: Guía de gestores de contraseñas
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026