대상: Double Counter 봇으로 디스코드 인증을 한 사용자, 이 봇을 사용하는 서버의 관리자, 자체 호스팅 분석 도구를 운영하는 사람. 이 글은 운영사 자신의 보고서를 근거로 작성되었으며, 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 영향을 받은 정확한 인원
- 공개된 데이터 사본 중 삭제된 것
- 개인정보 보호 당국의 검토 결과
- 형사 고소의 결과
운영사의 보고서는 10월 5일자이며 10월 21일에 버전 2.0으로 업데이트되었습니다. 사고는 통제되었고 새 자격 증명으로 서비스가 복구되었으며, 공개된 데이터 사본의 삭제를 요청했다고 밝혔습니다. 10월 30일 기준으로 그 이후 버전은 확인되지 않았습니다.
오늘 해야 할 일
회원: 디스코드 ID, 이메일, IP 주소를 언급하는 메시지에 응하지 마세요
유출된 항목으로 인해 "Double Counter 계정이 영향을 받았습니다"처럼 링크가 달린, 자신을 특정한 것처럼 보이는 메시지를 쓸 수 있습니다. 운영사는 이메일이나 개인 메시지로 비밀번호, 토큰, 결제를 요구하지 않는다고 밝혔습니다. 이번 사건에 대한 이메일을 받았다면 링크를 누르지 말고 운영사 웹사이트에 직접 접속하세요(피싱이란? 참고).
이번 사건 때문에 디스코드 비밀번호를 바꿀 필요는 없습니다. 디스코드에 두 번째 로그인 요소를 설정해 두는 것은 여전히 좋습니다.
회원: 인증 시간대에 영향을 받은 경우에만 다시 인증하세요
운영사는 10월 4일 UTC 13:39에서 14:49 사이에 인증했는데 역할을 받지 못했다면 다시 인증하라고 밝혔습니다. 그 외에는 조치가 필요 없습니다.
서버 관리자: 초대 게시물을 삭제하고 감사 로그를 검토하세요
운영사에 따르면 공격자의 서버로 가는 초대 링크가 10월 4일 UTC 13:30부터 약 50개의 대형 서버에 Double Counter가 보낸 것처럼 게시되었습니다. 10월 4일 UTC 12:00~16:30 사이의 Double Counter 메시지 중 다른 서버로 초대하는 것을 삭제하고, 그 시간대의 Double Counter 작업을 감사 로그에서 확인하세요.
봇, 광고주, API 고객: 결제 관련 메시지는 가짜로 취급하세요
운영사는 결제 제품의 영향을 받은 고객에게 직접 연락하고 있다고 밝혔습니다. 고객은 가짜 결제나 환불 메시지에 주의해야 합니다. 이름과 청구지 주소에 더해 카드 브랜드, 유효 기간, 끝 4자리가 있으면 그럴듯한 가짜 청구서를 만들기에 충분합니다.
직접 디스코드 봇을 운영한다면 토큰을 교체하세요
운영사는 공격자가 컨테이너에서 봇 토큰을 읽어 봇으로 행동했다고 밝혔습니다. 이는 여러분의 봇에 대한 주장이 아니라 일반적인 안내입니다. 토큰은 일반 파일이 아니라 비밀 저장소에 보관하고, 봇에 부여하는 권한을 제한하며, 노출이 의심되면 언제든 토큰을 재설정하세요.
무슨 일이 있었나요 (운영사 보고서 기준)
아래 내용은 Double Counter의 운영사 Tellter SAS가 2026년 10월 5일에 게시하고 10월 21일에 버전 2.0으로 업데이트한 사고 보고서(10월 30일 확인)를 바탕으로 합니다. 시각은 UTC입니다.
10월 3일 05:28
회전하는 VPN 주소에서 운영사 시스템에 대한 탐색이 시작되었습니다.10월 4일 00:47
공격자가 호스팅 업체의 폐기된 서버에, 그 서버에서 인터넷에 공개되어 있던 자체 호스팅 Metabase 인스턴스를 통해 로그인했습니다.10월 4일 12:03~17:54
클라우드 프로젝트 내부 활동, 총 5시간 51분. 운영사에 따르면 공격자는 데이터베이스를 내보냈고(5.0GB, 보고서에 따르면 다운로드되지는 않음), 봇 토큰을 읽었고, 약 12GB를 복사했으며, 데이터베이스 관리자 비밀번호를 변경했습니다.10월 4일 13:30
공격자의 서버로 가는 초대 링크가 약 50개의 대형 디스코드 서버에 나타나기 시작했습니다.10월 4일 17:54 및 19:19
클라우드 인프라에서 마지막으로 기록된 작업, 그리고 새 자격 증명으로 서비스 복구.10월 5일
보고서 게시. 프랑스 개인정보 보호 당국(CNIL)에 통지.10월 21일
보고서 버전 2.0. GDPR에 따라 약 100만 명에게 통지 이메일 발송이 시작되었고, 파리 검찰에 형사 고소가 접수되었습니다.
- 디스코드 ID와 사용자 이름
- 약 2,800만 건, 일부 복사, 노출로 취급
- IP 주소와 대략적인 위치
- 약 2,700만 건, 일부 복사, 노출로 취급
- 기기 정보
- 해시된 user-agent, 도시, 국가 약 2,500만 건, 부계정 탐지에 사용. 복사됨
- 이메일 주소
- 약 100만 건, 중복 제거. 복사됨
- VPN 탐지 로그
- 약 1,500만 건. 운영사는 복사되지 않았다고 밝힘
- 결제 제품 고객
- 이름, 이메일, 디스코드 ID, 청구지 주소, 요금제, 결제 내역, 카드 브랜드, 유효 기간, 끝 4자리가 담긴 기록 약 5,000건. 복사됨, 일부 공개됨
- 영향 없음
- 봇이 받은 적이 없는 디스코드 비밀번호. 결제 대행사만 보유하는 카드 번호 전체와 보안 코드
- 취한 조치
- 도난당한 자격 증명 삭제, 관리자 세션 폐기, 공격자의 접근 키 제거, 기존 서버 종료, 봇 토큰 재설정, 노출된 웹훅 10개 삭제, 데이터베이스를 인터넷에서 차단, 자격 증명 교체, 직원 로그아웃, 모니터링 활성화
폐기된 서버, 인터넷에서 접근 가능한 Metabase
↓→
위조된 관리자 세션
그 서버에서 발견된 클라우드 자격 증명 2개(관리자 키, 저장된 세션)
↓→
데이터베이스 내보내기, 약 12GB 복사
컨테이너에서 봇 토큰을 읽음
↓→
봇으로 약 50개의 대형 서버에 초대 링크 게시
확인된 것과 확인되지 않은 것
2026년 10월 30일 기준. 운영사가 추가 정보를 발표하면 상태 열을 업데이트합니다.
| 항목 | 운영사의 발표 내용 | 상태 |
|---|---|---|
| 디스코드 ID와 사용자 이름 | 약 2,800만 건, 일부 복사 | 노출로 취급(운영사) |
| IP 주소와 대략적인 위치 | 약 2,700만 건, 일부 복사 | 노출로 취급(운영사) |
| 해시된 기기 정보 | 약 2,500만 건 | 유출 확인(운영사) |
| 이메일 주소 | 약 100만 건, 중복 제거 | 유출 확인(운영사) |
| VPN 탐지 로그 | 약 1,500만 건 | 복사되지 않음(운영사) |
| 결제 제품 고객 기록 | 약 5,000건, 일부 공개 | 유출 확인(운영사) |
| 디스코드 비밀번호 | 봇이 받은 적 없음 | 영향 없음(운영사) |
| 카드 번호 전체와 보안 코드 | 결제 대행사만 보유 | 영향 없음(운영사) |
| 봇의 악용 | 약 50개 대형 서버에 초대 게시물, 사실상 모두 삭제 | 악용 확인(운영사) |
| Tellter의 다른 제품에서의 카드 결제 | 시도된 40건 중 23건이 성공, 7,331달러, 환불됨 | 확인됨(운영사) |
| 침입 경로 | 폐기된 서버의 인터넷 공개 자체 호스팅 Metabase, 위조된 관리자 세션 | 확인됨(운영사), CVE는 밝히지 않음 |
| 남겨진 백도어 | 클라우드 프로젝트 14개 감사에서 발견되지 않음 | 백도어 발견되지 않음(운영사) |
| 규제 당국과 법 집행기관 | 10월 5일 CNIL 통지, 10월 21일 형사 고소 접수 | 확인됨(운영사) |
| 공개된 사본의 삭제 | 요청함 | 진행 중 |
읽는 법: '일부 복사'는 운영사의 표현입니다
운영사는 일부만 복사되었더라도 디스코드 ID와 IP 주소 기록을 노출된 것으로 취급합니다. 수치는 운영사의 표현대로 대략적인 것입니다. 한 사람이 여러 항목에 나타날 수 있으므로 이 사이트는 항목을 합산하지 않습니다.
이 항목들로 무엇을 할 수 있나요
일반적으로 이런 조합은 아래와 같이 악용될 수 있습니다. 이번 사건에서 실제로 그런 일이 일어났다는 뜻은 아닙니다.
- 디스코드 ID와 사용자 이름: 직접 메시지를 보내거나, 함께 있는 서버에서 봇이나 중재자를 사칭할 수 있습니다
- IP 주소와 대략적인 위치: 대략 어디에 있고 어떤 인터넷 업체를 쓰는지 알 수 있습니다. 번지수까지는 아니지만 협박이나 "어디 있는지 안다"는 메시지를 그럴듯하게 만듭니다
- 이메일 주소와 디스코드 ID: 디스코드 신원과 이메일을 연결해 디스코드 밖에서도 표적으로 삼는 데 쓸 수 있습니다
- 결제 제품 고객의 청구 정보: 이름, 청구지 주소, 카드 끝자리면 그럴듯한 환불 또는 청구서 사기에 충분합니다
분석 도구와 봇을 운영하는 사람을 위한 내용
운영사는 침입 경로가 폐기했지만 인터넷에서 제거하지 않은 서버의 자체 호스팅 분석 도구였고, 공격자가 같은 서버에 저장되어 있던 클라우드 자격 증명 2개를 사용했다고 밝혔습니다. 같은 종류의 도구를 통한 다른 침해도 있었습니다. Metabase 취약점 침해에 대한 글을 참고하세요. 운영사는 이번 사건의 CVE를 밝히지 않았으므로 이 사이트는 그 글과 연결하지 않습니다.
운영사 자신의 설명에서 두 가지 점검 사항이 나옵니다.
- 폐기된 시스템: 아직 비용을 내고 있거나 DNS가 남아 있는 서버와 도구를 모두 목록으로 만들고, 쓰지 않는 것은 삭제하세요. 분석, 대시보드, 관리 도구 중 어떤 것이 인터넷에서 응답하는지 네트워크 밖에서 확인하세요.
- 모든 것을 할 수 있는 자격 증명: 운영사는 공격자가 관리자 권한이 있는 서비스 계정 키와 저장된 관리자 세션을 사용했다고 보고합니다. 서비스 계정에는 필요한 권한만 주고, 저장된 세션의 수명을 짧게 설정하고, 새 SSH 키나 클라우드 프로젝트에 대한 첫 로그인이 있으면 경보를 받으세요.
특히 디스코드 봇의 경우 토큰이 곧 봇의 신원입니다. 이를 읽을 수 있는 것은 무엇이든 봇이 권한을 가진 모든 서버에서 봇으로 행동할 수 있으므로, 봇에 부여하는 권한을 최대한 좁게 유지하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 수법이나 책임자에 대해서는 추측하지 않습니다.
- Tellter SAS(Double Counter 운영사), "Security incident INC-2026-10-04" 사고 보고서(2026년 10월 5일, 버전 2.0은 2026년 10월 21일) — doublecounter.gg
업데이트 기록
2026-10-30: 10월 30일에 확인한 운영사 보고서 버전 2.0(10월 21일)을 바탕으로 한 첫 버전. 운영사가 새 버전을 게시하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 종류의 침입 경로: Metabase 취약점 침해
- 사기: 피싱이란? / 다단계 인증 가이드
- 비밀번호: 비밀번호 관리자 가이드
- 2026년 기타 사건: 2026년 데이터 유출 및 사이버 공격