Для: пользователей Discord, прошедших верификацию через бота Double Counter, администраторов серверов, которые им пользуются, и тех, кто эксплуатирует самостоятельно размещенные аналитические инструменты. Статья основана на собственном отчете оператора и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 30 октября 2026 годаПока неизвестно
- Точное число затронутых людей
- Какие опубликованные копии данных удалены
- Результат проверки органом по защите данных
- Результат уголовного заявления
Отчет оператора датирован 5 октября и обновлен до версии 2.0 21 октября. В нем говорится, что инцидент локализован, сервис восстановлен с новыми учетными данными и запрошено удаление опубликованных копий данных. По состоянию на 30 октября более поздней версии мы не нашли.
Что делать сегодня
Участникам: не реагируйте на сообщения, использующие ваш Discord ID, адрес почты или IP-адрес
Утекшие данные позволяют написать сообщение, которое выглядит адресованным именно вам, например «ваш аккаунт Double Counter затронут» со ссылкой. Оператор говорит, что никогда не просит пароли, токены или оплату по электронной почте или в личных сообщениях. Если вы получили письмо об инциденте, не нажимайте на ссылку; откройте сайт оператора самостоятельно (см. Что такое фишинг?).
Менять пароль Discord из-за этого инцидента не нужно. Второй фактор входа в Discord все равно стоит иметь.
Участникам: проходите верификацию заново, только если попали в окно верификации
Оператор говорит, что если вы проходили верификацию 4 октября между 13:39 и 14:49 UTC и не получили роль, нужно пройти ее снова. В остальных случаях никаких действий не требуется.
Администраторам серверов: удалите сообщения с приглашениями и проверьте журнал аудита
Оператор говорит, что приглашения на сервер злоумышленника публиковались от имени Double Counter примерно на 50 крупных серверах, начиная с 13:30 UTC 4 октября. Удалите любые сообщения Double Counter от 4 октября с 12:00 до 16:30 UTC, приглашающие на другой сервер, и проверьте в журнале аудита действия Double Counter в этом окне.
Клиентам бота, рекламодателям и API: считайте сообщения об оплате поддельными
Оператор говорит, что сам связывается с затронутыми клиентами платежных продуктов. Клиентам следует остерегаться поддельных сообщений об оплате или возврате. Платежной системы карты, срока действия и последних четырех цифр вместе с именем и платежным адресом достаточно для убедительного поддельного счета.
Если у вас свой Discord-бот, замените его токен
Оператор говорит, что злоумышленник прочитал токен бота из контейнера и действовал от имени бота. Это общее напоминание, а не утверждение о вашем боте: храните токены в хранилище секретов, а не в обычных файлах, ограничивайте разрешения, которые даете боту, и сбрасывайте токен при любом подозрении на раскрытие.
Что произошло (по отчету оператора)
Ниже изложено по отчету об инциденте, опубликованному Tellter SAS, оператором Double Counter, 5 октября 2026 года и обновленному до версии 2.0 21 октября (проверено 30 октября). Время указано в UTC.
3 октября, 05:28
С меняющихся адресов VPN началось прощупывание систем оператора.4 октября, 00:47
Злоумышленник вошел на выведенный из эксплуатации сервер у хостинг-провайдера через общедоступный самостоятельно размещенный экземпляр Metabase на этом сервере.4 октября, 12:03–17:54
Активность внутри облачного проекта, всего 5 часов 51 минута. По словам оператора, злоумышленник экспортировал базу данных (5,0 ГБ, которая, как сказано в отчете, не была скачана), прочитал токен бота, скопировал около 12 ГБ и сменил пароль администратора базы данных.4 октября, 13:30
Приглашения на сервер злоумышленника начинают появляться примерно на 50 крупных серверах Discord.4 октября, 17:54 и 19:19
Последнее зафиксированное действие в облачной инфраструктуре, а затем восстановление сервиса с новыми учетными данными.5 октября
Опубликован отчет. Французский орган по защите данных (CNIL) уведомлен.21 октября
Версия 2.0 отчета. Начата рассылка уведомлений примерно 1 млн человек в соответствии с GDPR, парижской прокуратуре подано уголовное заявление.
- Discord ID и имена пользователей
- Около 28 млн записей, частично скопированы и считаются раскрытыми
- IP-адреса и приблизительное местоположение
- Около 27 млн записей, частично скопированы и считаются раскрытыми
- Сведения об устройствах
- Около 25 млн записей хешированных user-agent, города и страны, использовавшихся для обнаружения дополнительных аккаунтов. Скопированы
- Адреса электронной почты
- Около 1,0 млн, без дубликатов. Скопированы
- Журналы обнаружения VPN
- Около 15 млн. Оператор говорит, что они не были скопированы
- Клиенты платежных продуктов
- Около 5 000 записей с именем, адресом почты, Discord ID, платежным адресом, тарифом, историей платежей, платежной системой карты, сроком действия и последними четырьмя цифрами. Скопированы, частично опубликованы
- Не затронуто
- Пароли Discord, которых бот никогда не получал. Полные номера карт и коды безопасности, которые хранятся только у платежного провайдера
- Принятые меры
- Удален украденный учетный данный, отозваны сессии администратора, удален ключ доступа злоумышленника, остановлен прежний сервер, сброшен токен бота, удалены десять раскрытых вебхуков, база данных закрыта от интернета, учетные данные заменены, сотрудники выведены из систем, включен мониторинг
Выведенный из эксплуатации сервер, Metabase, доступный из интернета
↓→
Поддельная сессия администратора
Два облачных учетных данных на этом сервере (ключ администратора, сохраненная сессия)
↓→
База данных экспортирована, скопировано около 12 ГБ
Токен бота прочитан из контейнера
↓→
Бот использован для публикации приглашений на примерно 50 крупных серверах
Что известно и что неизвестно
По состоянию на 30 октября 2026 года. Когда оператор опубликует новые сведения, мы обновим столбец статуса.
| Пункт | Что говорит оператор | Статус |
|---|---|---|
| Discord ID и имена пользователей | Около 28 млн; скопированы частично | Считаются раскрытыми (оператор) |
| IP-адреса и приблизительное местоположение | Около 27 млн; скопированы частично | Считаются раскрытыми (оператор) |
| Хешированные сведения об устройствах | Около 25 млн | Утечка подтверждена (оператор) |
| Адреса электронной почты | Около 1,0 млн, без дубликатов | Утечка подтверждена (оператор) |
| Журналы обнаружения VPN | Около 15 млн | Не скопированы (оператор) |
| Записи клиентов платежных продуктов | Около 5 000; частично опубликованы | Утечка подтверждена (оператор) |
| Пароли Discord | Бот никогда не получал | Не затронуты (оператор) |
| Полные номера карт и коды безопасности | Хранятся только у платежного провайдера | Не затронуты (оператор) |
| Злоупотребление ботом | Сообщения с приглашениями на примерно 50 крупных серверах; практически все удалены | Злоупотребление подтверждено (оператор) |
| Списания с карт в другом продукте Tellter | 23 из 40 попыток списания успешны на 7 331 долл. США; возвращены | Подтверждено (оператор) |
| Точка входа | Общедоступный самостоятельно размещенный Metabase на выведенном из эксплуатации сервере; поддельная сессия администратора | Подтверждено (оператор); CVE не назван |
| Оставленные бэкдоры | Не найдены при аудите 14 облачных проектов | Бэкдор не найден (оператор) |
| Регулятор и правоохранительные органы | CNIL уведомлен 5 октября; уголовное заявление подано 21 октября | Подтверждено (оператор) |
| Удаление опубликованных копий | Запрошено | В процессе |
Как читать: «частично скопированы» — формулировка оператора
Оператор считает записи Discord ID и IP-адресов раскрытыми, хотя была скопирована лишь часть. Числа приблизительные, по словам оператора. Этот сайт не складывает категории, так как один и тот же человек может присутствовать в нескольких из них.
Для чего можно использовать эти данные
В общем случае такие сочетания можно использовать во вред, как описано ниже. Это не значит, что в данном случае так и произошло.
- Discord ID и имя пользователя: позволяют писать вам напрямую или выдавать себя за бота или модератора на общем сервере
- IP-адрес и приблизительное местоположение: показывают, примерно где вы находитесь и каким интернет-провайдером пользуетесь; это не домашний адрес, но из-за него угроза или сообщение «мы знаем, где вы» звучит правдоподобно
- Адрес электронной почты с Discord ID: связывает вашу личность в Discord с вашей почтой, что можно использовать, чтобы нацелиться на вас за пределами Discord
- Платежные данные клиентов платежных продуктов: имени, платежного адреса и конца номера карты достаточно для правдоподобного мошенничества с возвратом или счетом
Тем, кто эксплуатирует аналитические инструменты и ботов
Оператор говорит, что точкой входа стал самостоятельно размещенный аналитический инструмент на сервере, который он вывел из эксплуатации, но не убрал из интернета, и что затем злоумышленник использовал два облачных учетных данных, хранившихся на том же сервере. Это продолжает ряд других взломов через инструменты того же рода; см. нашу статью о взломах через уязвимости Metabase. Оператор не назвал CVE для этого инцидента, поэтому мы не связываем его с той статьей.
Из собственного рассказа оператора вытекают две проверки:
- Выведенные из эксплуатации системы: составьте список всех серверов и инструментов, за которые вы еще платите или для которых еще есть DNS-записи, и удалите те, которыми больше не пользуетесь. Проверьте извне вашей сети, какие из ваших аналитических инструментов, панелей и инструментов администрирования отвечают из интернета.
- Учетные данные, которые могут все: оператор сообщает, что злоумышленник использовал ключ служебной учетной записи с правами администратора и сохраненную сессию администратора. Давайте служебным учетным записям только нужные разрешения, задавайте короткий срок жизни сохраненных сессий и настройте оповещения о новом SSH-ключе или о первом входе в ваш облачный проект.
Для Discord-ботов в частности токен — это личность бота. Все, что может его прочитать, может действовать как бот на каждом сервере, где у бота есть разрешения, поэтому делайте разрешения, которые вы даете боту, как можно более узкими.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Мы не гадаем о нераскрытых методах и о том, кто несет ответственность.
- Tellter SAS (оператор Double Counter), отчет об инциденте «Security incident INC-2026-10-04» (5 октября 2026; версия 2.0 — 21 октября 2026) — doublecounter.gg
История обновлений
2026-10-30: Первая версия, основанная на версии 2.0 отчета оператора (21 октября), проверенной 30 октября. Мы обновим статью, когда оператор опубликует новую версию.
Читайте далее
- Такая же точка входа: Взломы через уязвимости Metabase
- Мошенничество: Что такое фишинг? / Руководство по многофакторной аутентификации
- Пароли: Руководство по менеджерам паролей
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года