Um bot do Discord que nunca instalou guardava 27 milhões de endereços IP

Muitos servidores do Discord usam um bot chamado Double Counter. Existe para impedir que as pessoas voltem a entrar com uma conta sobresselente depois de um banimento, e a maneira como o faz é registar o seu endereço IP quando entra. Está em mais de 600.000 comunidades. Quase ninguém de entre os que verificou escolheu instalá-lo.

A 4 de outubro alguém entrou nos sistemas do Double Counter através de uma ferramenta de análise que ainda corria num servidor sobrante de um alojamento antigo. As credenciais que lá encontrou abriram a infraestrutura na nuvem em produção. O intruso passou quase seis horas lá dentro e copiou cerca de 12 GB. O espólio: cerca de 28 milhões de identificadores e nomes de utilizador do Discord, cerca de 27 milhões de endereços IP com país, região, cidade, código postal e operador de internet, cerca de 25 milhões de impressões digitais de navegador e cerca de um milhão de endereços de correio eletrónico. Levou também o token do Discord do próprio bot e usou-o para publicar convites para o seu servidor em cerca de 50 comunidades grandes, e gastou 7.316 dólares com três cartões de pagamento roubados.

Os sistemas do próprio Discord não foram tocados e não havia palavras-passe do Discord envolvidas, porque o Double Counter nunca as guardou. O Discord desativou as novas instalações da aplicação enquanto apura o alcance completo. O Double Counter aconselha a apagar mensagens diretas de contas com a sua imagem e a desconfiar de convites para servidores que não esperava.

Aqui não há nada para repor, e é essa a parte frustrante: estes dados são um mapa de onde vive e do que usa para navegar, e já estão cá fora. O que ainda controla é o que está na sua própria máquina. A verificação de privacidade e contas do Tendvane percorre as definições e os inícios de sessão do seu PC e diz-lhe quais estão a dar mais do que o necessário.