Discord の個人情報が流出：サードパーティ経由の侵害であり影響は限定的

Discord Says User Information Stolen in Third-Party Data Breach

2025/10/06 SecurityWeek — Discord が発表したのは、同社のサードパーティ・カスタマーサービス・プロバイダーから、ユーザーの個人情報が盗まれたインシデントに関する情報である。同社によると、この事案の影響を受けるのは、Customer Support／Trust & Safety から連絡を受けたユーザーのみであり、侵害はサードパーティ・プロバイダーに限定され、Discord のシステム自体は無事であるという。

流出したユーザー情報に含まれるものには、氏名／ユーザー名／メールアドレス／連絡先情報／請求情報／IPアドレス／カスタマーサポート情報があり、さらには一部の企業データもあるという。

また、年齢確認を申請したユーザーについては、政府発行の身分証明書画像も流出したと Discord は述べている。ただし、このインシデントにおいて、Discord のメッセージ／認証データ／金融情報は流出していないという。

Discord は、影響を受けたユーザーへのメール通知を開始する一方で、関係当局への通報／脅威検知システムの検証／データ侵害への対応措置などを実施している。同社は、「一連の措置に含まれるのは、カスタマーサポート・プロバイダーのチケット・システムへのアクセス権の剥奪や、主要なフォレンジック企業の起用、法執行機関への通報がある」と述べている。

Discord は影響を受けたユーザーに対して、不審な未承諾メッセージや通信に警戒するよう呼びかけている。しかし、インシデント発生時期／関与したサードパーティ・サービス／影響を受けたユーザー数に関する詳細などは明らかにされていない。なお、同社の月間アクティブ・ユーザー数は２億人を超えるという。

脅威インテリジェンス研究プロジェクト Vx-Underground によると、このデータ侵害は 9月20日に発生した。このインシデントについて、Scattered LAPSUS$ Hunters 脅威グループによる Salesforce 恐喝キャンペーンとの関連を指摘する報道もあるが、Vx-Underground の説明は Discord 内の Zendesk 侵害というものであり、Scattered LAPSUS$ Hunters は関与していないと述べている。特定された脅威グループ名を持たない集団が関与しているようだ。

SecurityWeek は、このインシデントに関する追加情報を得るため Discord に問い合わせており、同社から回答があり次第、記事を更新する予定である。

今回の情報流出は、Discord 本体からではなく、サードパーティのカスタマーサポート業者への侵害に起因するようです。攻撃者がチケット・システムへアクセスできたことで、氏名／メールに加えて身分証画像などのサポート関連データが持ち出されたとされます。つまり、第三者が管理するデータ経路と、そこに付与された権限の扱いが、攻撃の入り口になったとされます。ご利用のチームは、ご注意ください。よろしければ、Discode で検索も、ご参照ください。