対象：Double Counterで認証を受けたDiscordの利用者、これを使っているサーバーの管理者、自社運用の分析ツールを使っている人。本記事は運営者の公式報告にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 影響を受けた人数の正確な値
- 公開されたコピーのうち削除された範囲
- データ保護当局の審査の結果
- 刑事告訴の結果
運営者の報告は10月5日付で、10月21日に第2版へ更新されました。事件は収束し、新しい認証情報でサービスを再開し、公開されたデータのコピーの削除を求めているとしています。10月30日時点で、これより新しい版は確認できませんでした。
今日やること
利用者：IDやメール、IPアドレスを使った連絡に応じない
漏れた項目があれば、「あなたのDouble Counterのアカウントが影響を受けました」のような、自分宛てに見える連絡とリンクを作れます。運営者は、パスワード、トークン、メールやダイレクトメッセージでの支払いを求めることはないとしています。事件についてのメールが届いても、リンクは開かず、自分で運営者のサイトを開いて確かめます（フィッシングとは）。
この件でDiscordのパスワードを変える必要はありません。Discordに2つ目のログイン要素を付けておくことは、引き続き有効です。
利用者：認証の時間帯に当たった人だけ、もう一度認証する
運営者は、10月4日のUTC13時39分から14時49分の間に認証して役割が付かなかった場合は、もう一度認証するよう案内しています。それ以外は何もしなくて構いません。
サーバー管理者：招待の投稿を削除し、監査ログを確認する
運営者によれば、攻撃者のサーバーへの招待が、Double Counterからの投稿に見える形で、10月4日のUTC13時30分から約50の大規模サーバーに投稿されました。10月4日のUTC12時から16時30分の間に、別のサーバーへ誘うDouble Counterの投稿があれば削除し、その時間帯のDouble Counterの操作を監査ログで確認してください。
ボット・広告・APIの利用者：支払いに関する連絡は偽物として扱う
運営者は、決済関連サービスの影響を受けた顧客には自分で連絡しているとしています。顧客は、偽の支払いや返金の連絡に注意してください。氏名・請求先住所にカードのブランドと下4桁があれば、本物らしい請求書の偽物を作れます。
自分でDiscordボットを運用しているなら、トークンを再発行する
運営者によれば、攻撃者はコンテナからボットのトークンを読み取り、ボットとして操作しました。これはあなたのボットについての話ではなく一般的な注意です。トークンは平文のファイルではなく秘密情報の保管庫に置き、ボットに与える権限を絞り、漏れた疑いがあれば再発行します。
何が起きたのか（運営者の報告より）
以下は、Double Counterの運営者Tellter SASが2026年10月5日に公表し、10月21日に第2版へ更新した事件報告にもとづきます（10月30日に確認）。時刻はUTCです。
10月3日 5時28分
運営者のシステムに対し、切り替わるVPNのアドレスから探りが始まった。10月4日 0時47分
攻撃者が、ホスティング事業者上の使われなくなったサーバーに、そこで動いていたインターネットから届く自社運用のMetabase経由でログインした。10月4日 12時03分〜17時54分
クラウドのプロジェクト内での活動（合計5時間51分）。運営者によれば、データベースの書き出し（5.0GB、ダウンロードはされていない）、ボットのトークンの読み取り、約12GBのコピー、データベース管理者パスワードの変更があった。10月4日 13時30分
約50の大規模Discordサーバーに、攻撃者のサーバーへの招待が現れ始めた。10月4日 17時54分と19時19分
クラウド基盤で最後に記録された操作。そのあと新しい認証情報でサービスを再開した。10月5日
報告を公表。フランスのデータ保護当局（CNIL）に届け出た。10月21日
報告の第2版。GDPRに基づく約100万人へのメール通知を開始し、パリ検察庁に刑事告訴した。
- Discord IDとユーザー名
- 約2,800万件。一部をコピーし、漏えいした扱い
- IPアドレスと大まかな位置情報
- 約2,700万件。一部をコピーし、漏えいした扱い
- 端末情報
- 約2,500万件。複数アカウントの検出に使うハッシュ化したユーザーエージェント、都市、国。コピーされた
- メールアドレス
- 約100万件（重複除外）。コピーされた
- VPN検出ログ
- 約1,500万件。運営者はコピーされていないとしている
- 決済関連サービスの顧客
- 約5,000件。氏名、メール、DiscordのID、請求先住所、プラン、支払い履歴、カードのブランド、有効期限、下4桁。コピーされ、一部は公開された
- 対象外
- ボットが受け取っていないDiscordのパスワード。決済事業者だけが持つカード番号の全桁とセキュリティコード
- 講じた対策
- 盗まれた認証情報の削除、管理者セッションの失効、攻撃者のアクセス鍵の削除、古いサーバーの停止、ボットのトークンの再発行、公開されていたウェブフック10件の削除、データベースのインターネットからの遮断、認証情報の入れ替え、スタッフのサインアウト、監視の強化
使われなくなったサーバーのMetabase（インターネットから到達可）
↓→
管理者セッションの偽造
同じサーバーにあったクラウドの認証情報2つ（管理者の鍵・保存セッション）
↓→
データベースの書き出し、約12GBのコピー
コンテナからボットのトークンを読み取り
↓→
ボットで約50の大規模サーバーに招待を投稿
分かっていること・分かっていないこと
2026年10月30日時点の状況です。運営者が続報を出したら、状態の欄を更新します。
| 項目 | 運営者の説明 | 状態 |
|---|---|---|
| Discord IDとユーザー名 | 約2,800万件。一部をコピー | 漏えいした扱い（運営者） |
| IPアドレスと大まかな位置情報 | 約2,700万件。一部をコピー | 漏えいした扱い（運営者） |
| ハッシュ化した端末情報 | 約2,500万件 | 漏えいを確認（運営者） |
| メールアドレス | 約100万件（重複除外） | 漏えいを確認（運営者） |
| VPN検出ログ | 約1,500万件 | コピーされていない（運営者） |
| 決済関連サービスの顧客の記録 | 約5,000件。一部は公開 | 漏えいを確認（運営者） |
| Discordのパスワード | ボットは受け取っていない | 含まれない（運営者） |
| カード番号の全桁・セキュリティコード | 決済事業者だけが保持 | 含まれない（運営者） |
| ボットの悪用 | 約50の大規模サーバーに招待を投稿、ほぼすべて削除済み | 悪用を確認（運営者） |
| Tellterの別サービスでのカード請求 | 試みた40件のうち23件が成立、7,331ドル。返金済み | 確定（運営者） |
| 侵入口 | 使われなくなったサーバー上の、インターネットから届く自社運用のMetabase。管理者セッションの偽造 | 確定（運営者）、CVE番号は非公表 |
| 残された裏口 | クラウド14プロジェクトの監査で見つからず | 見つからず（運営者） |
| 当局・捜査機関 | CNILへ10月5日に届け出、10月21日に刑事告訴 | 確定（運営者） |
| 公開されたコピーの削除 | 依頼済み | 進行中 |
読み方：「一部のコピー」は運営者の言い方
運営者は、DiscordのIDとIPアドレスの記録は、コピーされたのは一部でも、漏えいした扱いにしています。件数は運営者の言葉でいう概算です。項目ごとの件数は足し合わせません（当サイトの注記：同じ人が複数の項目に入りえます）。
これらの項目の組み合わせで起きうること
一般に、次のような悪用が起きうる組み合わせです。今回それが起きたという意味ではありません。
- DiscordのIDとユーザー名：直接のメッセージ、または共有しているサーバーでのボットや管理者のなりすましに使える
- IPアドレスと大まかな位置情報：おおよその場所と契約している通信事業者が分かる。住所ではないが、「居場所を知っている」という脅しに本物らしさを与える
- メールアドレスとDiscordのID：Discord上の身元とメールアドレスが結びつき、Discordの外から狙うのに使える
- 決済関連サービスの顧客の請求情報：氏名、請求先住所、カードの下4桁があれば、本物らしい返金や請求書の詐欺が作れる
分析ツールやボットを運用する人へ
運営者によれば、入口は、運営者が使うのをやめたがインターネットから外していなかったサーバー上の、自社運用の分析ツールで、そのあと攻撃者は同じサーバーに保存されていたクラウドの認証情報2つを使いました。同じ種類のツールを経由した侵害は、Metabaseの脆弱性による情報漏えいの記事にまとめています。この件で運営者はCVE番号を示していないので、その記事の脆弱性とは結びつけません。
運営者自身の説明から、次の2点を確認できます。
- 使っていないシステム： 料金を払っている、またはDNSが残っているサーバーとツールを一覧にし、使わないものは消します。社外から、分析・ダッシュボード・管理のツールがインターネットで応答していないか確かめます。
- 何でもできる認証情報： 運営者によれば、攻撃者は管理者権限のサービスアカウントの鍵と、保存された管理者のセッションを使いました。サービスアカウントには必要な権限だけを与え、保存したセッションの有効期間を短くし、クラウドのプロジェクトに新しいSSH鍵が追加されたり、初めてのログインがあったりしたら通知します。
Discordボットでは、トークンがボットの身元そのものです。トークンを読める者は、そのボットに権限のあるすべてのサーバーでボットとして動けるため、ボットに与える権限は最小限にします。
出典（公開情報）
本記事の事実は、以下の公開情報にもとづきます。公表されていない手口や、誰の仕業かについての推測はしません。
- Tellter SAS（Double Counterの運営者）「Security incident INC-2026-10-04」事件報告（2026年10月5日公表、10月21日に第2版、英語）— doublecounter.gg
更新履歴
2026-10-30：初版。運営者の報告の第2版（10月21日）にもとづき、10月30日に確認。運営者が新しい版を出したら更新します。
次に読む
- 同じ種類の入口：Metabaseの脆弱性による情報漏えい
- 詐欺とログイン：フィッシングとは / 多要素認証ガイド
- パスワード：パスワードマネージャーガイド
- 2026年のほかの事件：2026年の情報漏えい・サイバー攻撃