Double Counter, бот за сигурност в Discord, разкри пробив, който е изложил на риск потребителски данни, след като атакуващ е проникнал в облачните му системи на 4 октомври 2026 г. Киберпрестъпниците са копирали около 12 GB записи от бази данни, а откраднатият токен на бота е бил използван за публикуване на нежелани покани в около 50 големи Discord сървъра.

Според официалния доклад за инцидента от Double Counter, атаката е ограничена и услугата е възстановена в 19:19 ч. Разследващите са одитирали 14 облачни проекта и не са открили „задни врати“ (backdoors). Пробивът е засегнал инфраструктурата на доставчика на бота, а не самия Discord.

Пробив в сигурността на Double Counter

Атакуващият е проникнал през стар OVH сървър от предишната хостинг конфигурация на Double Counter. Въпреки че е бил изключен от активната услуга, той все още е изпълнявал публично достъпен инструмент за анализи Metabase. Уязвимост е позволила на атакуващия да фалшифицира администраторска сесия и да достъпи идентификационните данни, съхранявани на хоста.

Тези тайни са включвали ключ за облачен служебен акаунт (service account) с администраторски права и запазена командна сесия на администратор. Това е превърнало използвания в миналото сървър в мост към производствените системи. Тъй като атакуващият е повторно използвал валидни самоличности, вместо да създава нови акаунти, неговата активност първоначално е изглеждала по-малко съмнителна.

Cybersecurity News по-рано съобщи за активно експлоатирана уязвимост в Metabase. Въпреки това оповестяването от Double Counter не посочва конкретен CVE или предупреждение (advisory), така че свързването на този инцидент с тази конкретна уязвимост би било преждевременно.

Достъпът до облака е започнал в 12:03 ч. Атакуващият е добавил SSH ключ, експортирал е база данни в контейнер за съхранение (storage bucket) и е отворил команден ред (shell) в контейнера на бота. Този shell е разкрил токена на Discord. Атакуващият така и не е изтеглил първия експорт на базата данни.

Откраднатият токен е позволил на атакуващия да предостави администраторски права на своя акаунт в сървъра за поддръжка, да премахне блокиране (ban), наложено от екипа, и да изпраща покани от името на Double Counter.

Екипът е анулирал токена в 13:39 ч., но възстановяването на бота с нов токен не е премахнало облачния достъп на атакуващия. Той е прочел новия токен в рамките на две минути. Това показва защо подмяната на една ключова информация не може да ограничи атака, докато системата, съдържаща тази тайна, остава компрометирана.

По-късно атакуващият е променил паролата на администратора на базата данни и е копирал записи между 15:09 и 15:34 ч. Оттеглянето на ключа за служебния акаунт също се е оказало недостатъчно: той е преминал към откраднатата администраторска сесия. Достъпът е прекратен едва след като тези сесии са били отменени около 17:55 ч.

Double Counter счита за изложени на риск приблизително 28 милиона Discord идентификатори (IDs) и потребителски имена, както и 27 милиона записа на IP адреси и местоположение. Докладват се и копирани хешове на user-agent, покриващи около 25 милиона акаунта и приблизително един милион уникални имейл адреса. Тези групи се припокриват, така че сумирането им би надвишило реалния брой жертви.

Копирана е била само част от по-голямата таблица с IP адреси. Тъй като разследващите не могат да идентифицират кои редове са били пропуснати, те считат цялата таблица за изложена на риск. Услугата Have I Been Pwned включва приблизително 275 000 уникални имейл адреса в публично оповестените данни — по-малък набор от данни от отчетеното от доставчика излагане на риск.

Паролите за Discord и съхраняваните номера на карти не са били изложени на риск. Архивното съхранение (cold storage), обхващащо около 58 милиона потребители, е останало незасегнато. Откраднат ключ за Stripe е позволил извършването на измамни плащания за $7,316 от фирмена карта в отделния акаунт Atis. Две таксувания на клиенти са били възстановени.

Екипът за реагиране на инциденти е спрял стария сървър, отменил е облачния достъп, подменил е идентификационните данни за достъп (credentials), изтрил е изложените уебхукове (webhooks) и е преместил базите данни зад частна мрежова инфраструктура. Сега токенът използва отделно защитено съхранение на тайни. Журналирането на достъпа до тайни и непрекъснатият мониторинг вече поддържат възстановената услуга.