Discord-inbreuk legt 70.000 overheids-ID's bloot: wat ging er mis en wie werd erdoor getroffen?

Discord heeft de mogelijke omvang van zijn recente beveiligingslek onthuld. Het bedrijf verklaarde in een bijgewerkt persbericht dat van 70.000 leden van zijn platform de ID's van de overheid gecompromitteerd kunnen zijn.

Het datalek komt nadat Discord zich bij een groeiend aantal techbedrijven heeft gevoegd die hun klanten vragen om aan te tonen dat ze aan de minimumleeftijdseisen voldoen door hun rijbewijs of ID's van de overheid op te geven. Discord heeft een systeem geïmplementeerd waarbij gebruikers hun selfies moeten verstrekken wanneer ze op het platform worden aangegeven als minderjarig.

Volgens Discord vond de inbreuk plaats via een niet nader genoemde service van een derde partij die wordt gebruikt om de klantenservice te ondersteunen. Alleen gebruikers die hadden gecommuniceerd met de klantenservice of het Trust & Safety-team zijn getroffen. Discord verklaarde ook dat alleen klantgegevens die met de teams waren gedeeld gevaar liepen.

De verklaring luidt gedeeltelijk: "Onlangs hebben we een incident ontdekt waarbij een onbevoegde partij een van Discord's externe klantenservice providers heeft gecompromitteerd. De onbevoegde partij kreeg vervolgens toegang tot informatie van een beperkt aantal gebruikers die contact hadden opgenomen met Discord via onze Customer Support en/of Trust & Safety teams."

Discord heeft de toegang van de leverancier tot zijn ticketingsysteem uitgeschakeld terwijl het samen met de wetshandhavingsinstanties het incident blijft onderzoeken.

In de officiële release staat dat de volgende klantgegevens gecompromitteerd kunnen zijn:

• Naam, Discord gebruikersnaam, e-mail en andere contactgegevens
• Beperkte factureringsgegevens, zoals betalingstype, de laatste vier cijfers van uw creditcard en aankoopgeschiedenis
• IP-adressen
• Berichten met klantenservicemedewerkers
• Beperkte bedrijfsgegevens (trainingsmateriaal, interne presentaties)
• Een klein aantal overheids-ID afbeeldingen

Discord neemt contact op met getroffen gebruikers die een e-mail zullen ontvangen van noreply @ discord.com. Het bedrijf waarschuwt dat er geen telefonisch contact zal worden opgenomen om nietsvermoedende slachtoffers te beschermen.

Nu steeds meer bedrijven proberen te voldoen aan lokale wettelijke vereisten door naar ID's te vragen om toegang te krijgen tot hun diensten, vragen veel gebruikers zich af wat ze kunnen doen om zichzelf tegen dergelijke inbreuken te beschermen. Sommigen hebben gekozen voor VPN's om hun fysieke locatie te verbergen, maar een aantal populaire websites beperken al IP-adressen die aan VPN's gekoppeld zijn.