- Ataque a proveedor de soporte de Discord con fines de extorsión compromete datos de usuarios.
- Se expusieron correos, IP, mensajes a soporte, pagos parciales y algunos documentos de identidad.
- No hubo acceso a direcciones físicas, credenciales ni números completos de tarjetas.
- Hecho en septiembre; avisos desde el 3 de octubre y recomendaciones: 2FA y cautela ante phishing.
Discord ha confirmado un incidente de seguridad en su servicio de soporte gestionado por un proveedor externo, tras un ataque con fines de extorsión que permitió acceder a información relacionada con usuarios que abrieron tickets o interactuaron con confianza y seguridad.
La plataforma, utilizada por más de 200 millones de personas al mes, inició la notificación individual a los afectados y mantiene la investigación abierta. El modus operandi recuerda a campañas de ransomware, aunque la intrusión se limitó al entorno del proveedor y no a la infraestructura principal.
Cómo se produjo la intrusión
Según la notificación oficial, los atacantes irrumpieron en sistemas del tercero que opera el soporte al cliente y accedieron a contenidos asociados a casos gestionados allí. No hubo ingreso a servidores centrales de Discord, lo que limita el alcance a los datos manejados en ese flujo de atención.
El objetivo habría sido la extorsión: tras robar información, se exigió un pago para evitar su publicación. Esta táctica encaja con movimientos observados en grupos criminales que presionan a las víctimas sin necesidad de cifrar sistemas.
Qué información quedó expuesta
Los datos comprometidos afectan a personas que interactuaron con soporte o equipos de trust and safety. Discord detalla que pueden incluir información de contacto y ciertos elementos técnicos o transaccionales.
- Nombres de usuario y correo electrónico, junto con otros datos de contacto aportados en el ticket.
- Información parcial de pagos (p. ej., últimos cuatro dígitos y historiales de compra vinculados a servicios como Nitro).
- Direcciones IP asociadas a interacciones con el soporte.
- Mensajes y adjuntos enviados al centro de ayuda o a confianza y seguridad, incluidos ficheros compartidos para resolver incidencias.
- Materiales internos como presentaciones o contenidos de capacitación del proveedor.
- Un número limitado de documentos de identidad (pasaportes o licencias) solicitados para verificar edad o titularidad de cuenta.
En el aviso remitido a cada afectado se especifica qué elementos concretos de su caso se han visto expuestos, por lo que conviene revisar con detalle ese correo de notificación.
Qué no se ha visto comprometido
Discord indica que no hubo acceso a direcciones físicas, números completos de tarjetas de crédito o débito, credenciales de autenticación ni mensajes ajenos a los intercambios con el soporte. Tampoco hay indicios de intrusión en sistemas productivos de la plataforma.
- Sin contraseñas ni tokens comprometidos.
- Sin números completos de tarjeta de pago ni CVV.
- Sin acceso a chats o servidores fuera del contexto de atención al cliente.
Cronología y atribución del ataque
La actividad maliciosa se sitúa alrededor del 20 de septiembre, y las comunicaciones a usuarios comenzaron el 3 de octubre. En un primer momento se vinculó el incidente a Scattered Lapsus$ Hunters (SLH), pero posteriormente se apuntó a otro grupo con vínculos con SLH, por lo que la atribución final sigue en revisión.
Riesgos derivados y recomendaciones prácticas
Con datos de contacto y detalles de soporte en juego, aumenta el riesgo de phishing dirigido. Es previsible que circulen correos o mensajes que simulen ser de Discord para robar credenciales o datos de pago.
- Activa la verificación en dos pasos (2FA) en tu cuenta.
- Revisa movimientos de pagos de Nitro u otros servicios y configura alertas del banco.
- Desconfía de mensajes que pidan códigos, contraseñas o datos sensibles; verifica siempre desde la app o la web oficial.
- Evita abrir adjuntos o enlaces no solicitados, incluso si mencionan este incidente.
Lecciones sobre la cadena de suministro
El caso subraya cómo los proveedores externos pueden convertirse en el eslabón débil: son difíciles de auditar de forma continua y a menudo tratan información sensible. Aun con buenos controles internos, una brecha en la cadena de suministro puede volcar datos que los delincuentes explotan con rapidez.
Con la investigación en marcha y las notificaciones en curso, la prioridad pasa por reducir superficie de ataque en proveedores, reforzar contratos de seguridad y mantener a los usuarios informados para cortar de raíz posibles fraudes asociados.
El panorama que deja este incidente es claro: un acceso no autorizado en el entorno del soporte derivó en la exposición de datos de contacto, transacciones y mensajes, mientras que información crítica como credenciales y números completos de tarjeta quedó a salvo; toca extremar la vigilancia ante intentos de phishing, activar 2FA y revisar pagos para minimizar cualquier impacto adicional.