適用對象：曾透過 Double Counter 機器人驗證的 Discord 使用者、使用它的伺服器的管理員，以及運行自行託管分析工具的人。本文根據營運方自己的報告，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至2026年10月30日尚不清楚
- 受影響人數的確切數字
- 哪些已公開的資料副本已被刪除
- 資料保護機關審查的結果
- 刑事告訴的結果
營運方的報告日期為10月5日，並於10月21日更新為 2.0 版。報告表示事件已獲控制，服務已使用新憑證恢復，並已請求刪除已公開的資料副本。截至10月30日，我們沒有找到更新的版本。
今天該怎麼做
成員：只有在驗證時段內受到影響時才需要重新驗證
營運方表示，若您在10月4日 UTC 13:39 至 14:49 之間驗證，卻沒有獲得身分組，請重新驗證。除此之外無需採取任何行動。
伺服器管理員：刪除邀請訊息並檢查稽核記錄
營運方表示，自10月4日 UTC 13:30 起，在約 50 個大型伺服器中，張貼了看似來自 Double Counter、通往攻擊者伺服器的邀請。請刪除10月4日 UTC 12:00 至 16:30 之間、邀請人們加入另一個伺服器的任何 Double Counter 訊息，並在稽核記錄中檢查該時段內 Double Counter 的操作。
機器人、廣告主與 API 客戶：將與付款有關的訊息視為假冒
營運方表示，它正在自行聯絡其付款類產品的受影響客戶。客戶應對假的付款或退款訊息保持警覺。卡片品牌、有效期限與末四碼，加上姓名與帳單地址，足以製作出令人信服的假發票。
若您有自己的 Discord 機器人，請輪替其權杖
營運方表示，攻擊者從一個容器中讀取了機器人權杖，並用它冒充機器人行事。這是一個一般性提醒，並不是關於您的機器人的結論：請將權杖存放在機密儲存庫中，而不是明文檔案裡，限制您授予機器人的權限，並在懷疑暴露時重設權杖。
發生了什麼事（依據營運方的報告）
以下內容根據 Double Counter 的營運方 Tellter SAS 於2026年10月5日發布、10月21日更新為 2.0 版的事件報告（10月30日查閱）。時間均為 UTC。
10月3日 05:28
開始從輪替的 VPN 位址探測營運方的系統。10月4日 00:47
攻擊者透過託管服務供應商處一台已停用伺服器上可公開存取的自行託管 Metabase 執行個體，登入了這台伺服器。10月4日 12:03 至 17:54
雲端專案內的活動，總計 5 小時 51 分鐘。營運方表示，攻擊者匯出了一個資料庫（5.0 GB，報告表示從未被下載），讀取了機器人權杖，複製了約 12 GB，並更改了資料庫管理員密碼。10月4日 13:30
通往攻擊者伺服器的邀請開始出現在約 50 個大型 Discord 伺服器中。10月4日 17:54 與 19:19
雲端基礎設施中記錄的最後一次操作，以及隨後使用新憑證恢復服務。10月5日
報告發布。已通知法國資料保護機關（CNIL）。10月21日
報告 2.0 版。依據 GDPR 開始向約 100 萬人寄送通知郵件，並已向巴黎檢察機關提出刑事告訴。
- Discord ID 與使用者名稱
- 約 2,800 萬筆紀錄，部分複製並視為已暴露
- IP 位址與粗略位置
- 約 2,700 萬筆紀錄，部分複製並視為已暴露
- 裝置資訊
- 約 2,500 萬筆經雜湊處理的 user-agent、城市與國家的紀錄，用於偵測小帳。已複製
- 電子郵件地址
- 約 100 萬個，去重後。已複製
- VPN 偵測記錄
- 約 1,500 萬筆。營運方表示這些未被複製
- 付款類產品客戶
- 約 5,000 筆紀錄，包含姓名、電子郵件、Discord ID、帳單地址、方案、付款歷史、卡片品牌、有效期限與末四碼。已複製，部分已公開
- 未受影響
- Discord 密碼，機器人從未收到。完整信用卡號與安全碼，只有支付服務供應商持有
- 已採取的措施
- 刪除了遭竊憑證，撤銷了管理員工作階段，移除了攻擊者的存取金鑰，關閉了舊伺服器，重設了機器人權杖，刪除了十個暴露的 webhook，關閉了資料庫對網際網路的存取，輪替了憑證，讓員工登出，並開啟了監控
已停用的伺服器，可從網際網路存取的 Metabase
↓→
偽造的管理員工作階段
在該伺服器上找到的兩個雲端憑證（管理員金鑰、已儲存的工作階段）
↓→
匯出資料庫，複製約 12 GB
從容器中讀取機器人權杖
↓→
利用機器人在約 50 個大型伺服器中張貼邀請
已知與未知的內容
狀態截至2026年10月30日。營運方發布更多資訊時，我們將更新狀態一欄。
| 項目 | 營運方的說法 | 狀態 |
|---|---|---|
| Discord ID 與使用者名稱 | 約 2,800 萬；部分複製 | 視為已暴露（營運方） |
| IP 位址與粗略位置 | 約 2,700 萬；部分複製 | 視為已暴露（營運方） |
| 經雜湊處理的裝置資訊 | 約 2,500 萬 | 已確認外洩（營運方） |
| 電子郵件地址 | 約 100 萬，去重後 | 已確認外洩（營運方） |
| VPN 偵測記錄 | 約 1,500 萬 | 未複製（營運方） |
| 付款類產品客戶紀錄 | 約 5,000 筆；部分已公開 | 已確認外洩（營運方） |
| Discord 密碼 | 機器人從未收到 | 未受影響（營運方） |
| 完整信用卡號與安全碼 | 僅支付服務供應商持有 | 未受影響（營運方） |
| 機器人被濫用 | 在約 50 個大型伺服器中張貼邀請；實質上全部已刪除 | 已確認被濫用（營運方） |
| Tellter 另一款產品上的信用卡扣款 | 40 次嘗試扣款中有 23 次成功，共 7,331 美元；已退還 | 已確認（營運方） |
| 入口 | 已停用伺服器上可公開存取的自行託管 Metabase；偽造的管理員工作階段 | 已確認（營運方）；未指明 CVE |
| 遺留的後門 | 對 14 個雲端專案的稽核中未發現 | 未發現後門（營運方） |
| 監管機關與執法機關 | 10月5日通知 CNIL；10月21日提出刑事告訴 | 已確認（營運方） |
| 刪除已公開的副本 | 已請求 | 進行中 |
如何解讀：「部分複製」是營運方的措辭
營運方將 Discord ID 與 IP 位址紀錄視為已暴露，儘管只有一部分被複製。數量是近似值，為營運方的原話。本站不將各類別相加，因為同一個人可能出現在其中的多類中。
這些資訊可能被用來做什麼
一般而言，這些資訊的組合可能被如下濫用。這並不意味著本案中已經發生。
- Discord ID 與使用者名稱：讓人可以直接傳訊息給您，或在您們共同所在的伺服器中冒充機器人或管理員
- IP 位址與粗略位置：讓人大致知道您在哪裡以及使用哪家網際網路服務供應商；它不是街道地址，但會讓威脅或「我們知道你在哪裡」的訊息聽起來很真實
- 電子郵件地址與 Discord ID：將您的 Discord 身分與電子郵件連結起來，可被用來在 Discord 之外針對您
- 付款類產品客戶的帳單資訊：姓名、帳單地址與卡號末碼，足以製作出令人信服的退款或發票詐騙
給運行分析工具與機器人的人
營運方表示，入口是一台已被其停用、但尚未從網際網路上移除的伺服器上的自行託管分析工具，隨後攻擊者使用了存放在同一台伺服器上的兩個雲端憑證。這與透過同類工具發生的其他外洩事件相仿；請參閱本站關於 Metabase 漏洞資料外洩的文章。營運方沒有為本次事件指明 CVE，所以我們不將其與那一個連結。
營運方自己的說明引出了兩項檢查：
- **已停用的系統：**列出您仍在付費或仍有 DNS 紀錄的每一台伺服器與工具，並刪除不再使用的。從您的網路之外檢查，您的分析、儀表板與管理工具中，哪些能在網際網路上回應。
- **無所不能的憑證：**營運方表示攻擊者使用了一個具有管理員權限的服務帳號金鑰和一個已儲存的管理員工作階段。請只授予服務帳號所需的權限，為已儲存的工作階段設定較短的有效期限，並對新的 SSH 金鑰或首次登入您雲端專案的行為發出警示。
具體到 Discord 機器人，權杖就是機器人的身分。任何能讀取它的人，都可以在機器人擁有權限的每一個伺服器中冒充機器人行事，所以請盡可能收窄您授予機器人的權限。
參考來源（公開紀錄）
本文事實根據下列公開資訊。對於未揭露的手法或責任方，我們不做推測。
- Tellter SAS（Double Counter 的營運方），《安全事件 INC-2026-10-04》事件報告（2026年10月5日；2.0 版，2026年10月21日，英文）— doublecounter.gg
更新紀錄
2026-10-30：首次發布，依據營運方報告 2.0 版（10月21日），10月30日查閱。營運方發布新版本時，我們將更新本文。
延伸閱讀
- 同類入口：Metabase 漏洞資料外洩
- 詐騙：什麼是網路釣魚？ / 多重要素驗證指南
- 密碼：密碼管理員指南
- 2026年其他事件：2026年資料外洩與網路攻擊一覽