Para: usuários do Discord que se verificaram pelo bot Double Counter, administradores de servidores que o usam e pessoas que mantêm ferramentas de análise auto-hospedadas. Este artigo se baseia no próprio relatório da operadora e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Número exato de pessoas afetadas
- Quais cópias publicadas dos dados foram removidas
- Resultado da revisão da autoridade de proteção de dados
- Resultado da queixa criminal
O relatório da operadora é datado de 5 de outubro e foi atualizado para a versão 2.0 em 21 de outubro. Ele diz que o incidente está contido, que o serviço foi restabelecido com novas credenciais e que a remoção das cópias publicadas dos dados foi solicitada. Em 30 de outubro não encontramos nenhuma versão posterior.
O que fazer hoje
Membros: não reajam a mensagens que usem seu ID do Discord, e-mail ou endereço IP
Os itens vazados permitem escrever uma mensagem que parece específica para você, por exemplo «sua conta do Double Counter foi afetada» com um link. A operadora diz que nunca pede senhas, tokens ou pagamento por e-mail ou mensagem privada. Se você receber um e-mail sobre o incidente, não clique no link; abra você mesmo o site da operadora (veja O que é phishing?).
Você não precisa trocar sua senha do Discord por causa deste incidente. Ainda vale ter um segundo fator de login no Discord.
Membros: só se verifiquem de novo se foram afetados na janela de verificação
A operadora diz que, se você se verificou entre 13h39 e 14h49 UTC de 4 de outubro e não recebeu seu cargo, deve se verificar novamente. Caso contrário, nenhuma ação é necessária.
Administradores de servidores: apaguem as postagens de convite e revisem o log de auditoria
A operadora diz que convites para o servidor do atacante foram postados como se fossem do Double Counter em cerca de 50 servidores grandes, a partir de 13h30 UTC de 4 de outubro. Apague qualquer mensagem do Double Counter de 4 de outubro, das 12h00 às 16h30 UTC, que convide para outro servidor, e verifique o log de auditoria em busca de ações do Double Counter nessa janela.
Clientes de bots, anunciantes e API: tratem como falsas as mensagens ligadas a pagamento
A operadora diz que ela mesma está contatando os clientes afetados de seus produtos de pagamento. Os clientes devem desconfiar de falsas mensagens de pagamento ou reembolso. A bandeira do cartão, a validade e os últimos quatro dígitos, junto com um nome e um endereço de cobrança, bastam para uma fatura falsa convincente.
Se você tem seu próprio bot do Discord, troque o token
A operadora diz que o atacante leu o token do bot em um contêiner e o usou para agir como o bot. É um lembrete geral, não uma afirmação sobre o seu bot: guarde tokens em um cofre de segredos e não em arquivos de texto simples, restrinja as permissões que você dá ao bot e redefina o token sempre que suspeitar de exposição.
O que aconteceu (segundo o relatório da operadora)
O que segue se baseia no relatório do incidente publicado pela Tellter SAS, operadora do Double Counter, em 5 de outubro de 2026 e atualizado para a versão 2.0 em 21 de outubro (consultado em 30 de outubro). Os horários são UTC.
3 de outubro, 05h28
Começou o sondeamento dos sistemas da operadora a partir de endereços de VPN rotativos.4 de outubro, 00h47
O atacante entrou em um servidor desativado em um provedor de hospedagem, por uma instância de Metabase auto-hospedada e acessível publicamente nesse servidor.4 de outubro, 12h03 a 17h54
Atividade dentro do projeto na nuvem, 5 horas e 51 minutos no total. A operadora diz que o atacante exportou um banco de dados (5,0 GB, que segundo o relatório nunca foi baixado), leu o token do bot, copiou cerca de 12 GB e mudou a senha de administrador do banco de dados.4 de outubro, 13h30
Começam a aparecer convites para o servidor do atacante em cerca de 50 servidores grandes do Discord.4 de outubro, 17h54 e 19h19
A última ação registrada na infraestrutura da nuvem e, depois, o serviço restabelecido com novas credenciais.5 de outubro
Relatório publicado. A autoridade francesa de proteção de dados (CNIL) foi notificada.21 de outubro
Versão 2.0 do relatório. Começaram os e-mails de notificação a cerca de 1 milhão de pessoas com base no GDPR, e uma queixa criminal foi apresentada ao Ministério Público de Paris.
- IDs e nomes de usuário do Discord
- Cerca de 28 milhões de registros, copiados em parte e tratados como expostos
- Endereços IP e localização aproximada
- Cerca de 27 milhões de registros, copiados em parte e tratados como expostos
- Dados de dispositivo
- Cerca de 25 milhões de registros de user-agent, cidade e país com hash, usados para detectar contas secundárias. Copiados
- Endereços de e-mail
- Cerca de 1,0 milhão, sem duplicatas. Copiados
- Logs de detecção de VPN
- Cerca de 15 milhões. A operadora diz que não foram copiados
- Clientes de produtos de pagamento
- Cerca de 5.000 registros de nome, e-mail, ID do Discord, endereço de cobrança, plano, histórico de pagamentos, bandeira do cartão, validade e últimos quatro dígitos. Copiados, em parte publicados
- Não afetados
- Senhas do Discord, que o bot nunca recebeu. Números completos de cartão e códigos de segurança, que só o provedor de pagamentos guarda
- Medidas tomadas
- Excluiu a credencial roubada, revogou as sessões de administrador, removeu a chave de acesso do atacante, desligou o servidor legado, redefiniu o token do bot, excluiu dez webhooks expostos, fechou o banco de dados para a internet, trocou as credenciais, desconectou a equipe e ativou o monitoramento
Servidor desativado, Metabase acessível pela internet
↓→
Sessão de administrador forjada
Duas credenciais da nuvem encontradas nesse servidor (chave de administrador, sessão salva)
↓→
Banco de dados exportado, cerca de 12 GB copiados
Token do bot lido em um contêiner
↓→
Bot usado para postar convites em cerca de 50 servidores grandes
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Quando a operadora publicar mais, atualizaremos a coluna de situação.
| Item | O que a operadora diz | Situação |
|---|---|---|
| IDs e nomes de usuário do Discord | Cerca de 28 milhões; copiados em parte | Tratados como expostos (operadora) |
| Endereços IP e localização aproximada | Cerca de 27 milhões; copiados em parte | Tratados como expostos (operadora) |
| Dados de dispositivo com hash | Cerca de 25 milhões | Vazamento confirmado (operadora) |
| Endereços de e-mail | Cerca de 1,0 milhão, sem duplicatas | Vazamento confirmado (operadora) |
| Logs de detecção de VPN | Cerca de 15 milhões | Não copiados (operadora) |
| Registros de clientes de produtos de pagamento | Cerca de 5.000; em parte publicados | Vazamento confirmado (operadora) |
| Senhas do Discord | O bot nunca as recebeu | Não afetadas (operadora) |
| Números completos de cartão e códigos de segurança | Guardados só pelo provedor de pagamentos | Não afetados (operadora) |
| Abuso do bot | Postagens de convite em cerca de 50 servidores grandes; praticamente todas apagadas | Abuso confirmado (operadora) |
| Cobranças em cartão em outro produto da Tellter | 23 de 40 cobranças tentadas tiveram sucesso, somando US$ 7.331; reembolsadas | Confirmado (operadora) |
| Porta de entrada | Metabase auto-hospedado e acessível publicamente em um servidor desativado; sessão de administrador forjada | Confirmado (operadora); CVE não citado |
| Backdoors deixados | Nenhum encontrado em uma auditoria de 14 projetos na nuvem | Nenhum backdoor encontrado (operadora) |
| Regulador e autoridades policiais | CNIL notificada em 5 de outubro; queixa criminal apresentada em 21 de outubro | Confirmado (operadora) |
| Remoção das cópias publicadas | Solicitada | Em andamento |
Como ler isto: «copiado em parte» é a expressão da operadora
A operadora trata os registros de IDs do Discord e de endereços IP como expostos mesmo que só uma parte tenha sido copiada. As contagens são aproximadas, nas palavras da operadora. Este site não soma as categorias, porque a mesma pessoa pode aparecer em várias.
Para que esses dados podem ser usados
Em geral, essas combinações podem ser mal usadas como descrito. Isso não significa que tenha acontecido neste caso.
- ID e nome de usuário do Discord: permite que alguém envie mensagens diretas a você ou se passe por um bot ou moderador em um servidor que vocês compartilham
- Endereço IP e localização aproximada: diz a alguém mais ou menos onde você está e qual provedor de internet usa; não é um endereço residencial, mas faz uma ameaça ou uma mensagem de «sabemos onde você está» parecer real
- E-mail com ID do Discord: liga sua identidade no Discord ao seu e-mail, o que pode ser usado para atingir você fora do Discord
- Dados de cobrança de clientes de produtos de pagamento: um nome, um endereço de cobrança e o final do cartão bastam para um golpe convincente de reembolso ou fatura
Para quem mantém ferramentas de análise e bots
A operadora diz que a porta de entrada foi uma ferramenta de análise auto-hospedada em um servidor que ela havia desativado mas não retirado da internet, e que o atacante então usou duas credenciais da nuvem guardadas nesse mesmo servidor. Isso segue outras violações pelo mesmo tipo de ferramenta; veja nosso artigo sobre violações por vulnerabilidades do Metabase. A operadora não citou nenhum CVE para este incidente, então não o ligamos àquele.
Duas verificações decorrem do relato da própria operadora:
- Sistemas desativados: liste todos os servidores e ferramentas que você ainda paga ou para os quais ainda tem DNS, e exclua os que não usa mais. Verifique, de fora da sua rede, quais ferramentas de análise, painéis e administração respondem na internet.
- Credenciais que podem tudo: a operadora relata que o atacante usou uma chave de conta de serviço com direitos de administrador e uma sessão de administrador salva. Dê às contas de serviço apenas as permissões de que precisam, defina vidas curtas para sessões salvas e alerte sobre uma nova chave SSH ou um primeiro login no seu projeto na nuvem.
Para bots do Discord em especial, o token é a identidade do bot. Tudo o que conseguir lê-lo pode agir como o bot em todos os servidores em que o bot tem permissões, então mantenha o mais restritas possível as permissões que você concede ao bot.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre técnicas não divulgadas nem sobre quem foi o responsável.
- Tellter SAS (operadora do Double Counter), relatório do incidente «Security incident INC-2026-10-04» (5 de outubro de 2026; versão 2.0, 21 de outubro de 2026) — doublecounter.gg
Histórico de atualizações
2026-10-30: Primeira versão, com base na versão 2.0 do relatório da operadora (21 de outubro), consultada em 30 de outubro. Atualizaremos este artigo quando a operadora publicar uma nova versão.
Leia em seguida
- O mesmo tipo de porta de entrada: Violações por vulnerabilidades do Metabase
- Golpes: O que é phishing? / Guia de autenticação multifator
- Senhas: Guia de gerenciadores de senhas
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026