Un bot de Discord que nunca instalaste guardaba 27 millones de direcciones IP

Muchos servidores de Discord usan un bot llamado Double Counter. Existe para impedir que la gente vuelva a colarse con una cuenta de repuesto después de un baneo, y la manera en que lo hace es registrando tu dirección IP al entrar. Está en más de 600.000 comunidades. Casi nadie de los que ha comprobado eligió instalarlo.

El 4 de octubre alguien entró en los sistemas de Double Counter a través de una herramienta de análisis que seguía funcionando en un servidor heredado de un alojamiento anterior. Las credenciales que encontró allí abrieron la infraestructura en la nube en producción. El intruso pasó casi seis horas dentro y copió unos 12 GB. El botín: unos 28 millones de identificadores y nombres de usuario de Discord, alrededor de 27 millones de direcciones IP con país, región, ciudad, código postal y proveedor de internet, unos 25 millones de huellas de navegador y cerca de un millón de direcciones de correo. También se llevó el token de Discord del propio bot y lo usó para publicar invitaciones a su servidor en unas 50 comunidades grandes, y gastó 7.316 dólares con tres tarjetas de pago robadas.

Los sistemas de Discord no se tocaron y no había contraseñas de Discord de por medio, porque Double Counter nunca las tuvo. Discord ha desactivado las nuevas instalaciones de la aplicación mientras aclara el alcance completo. Double Counter aconseja borrar los mensajes directos de cuentas con su imagen y desconfiar de las invitaciones a servidores que no esperabas.

Aquí no hay nada que restablecer, y eso es lo frustrante: esos datos son un mapa de dónde vives y con qué navegas, y ya están fuera. Lo que sí sigues controlando es lo que hay en tu propia máquina. La revisión de privacidad y cuentas de Tendvane repasa los ajustes y los inicios de sesión de tu PC y te dice cuáles están entregando más de lo necesario.