Discord, fuga di dati: 28 milioni a rischio

Non è stato violato Discord, ma il problema è serio

Quando leggiamo che una fuga di dati ha coinvolto 28 milioni di account Discord, la prima reazione è abbastanza prevedibile: pensiamo che qualcuno sia riuscito a entrare direttamente nei sistemi della piattaforma e abbia portato via una quantità enorme di informazioni personali. In questo caso, però, la situazione è leggermente diversa e proprio per questo merita di essere raccontata con attenzione. L’attacco non ha colpito direttamente l’infrastruttura di Discord, ma Double Counter, un servizio di terze parti utilizzato da moltissime community per verificare gli utenti, individuare account alternativi e contrastare VPN, raid e comportamenti sospetti. Il risultato, però, è tutt’altro che marginale: l’attaccante ha avuto accesso a una parte consistente dei dati raccolti dal servizio e ha finito per mettere a rischio informazioni collegate a milioni di utenti Discord.

Double Counter ha comunicato che l’attacco è avvenuto il 4 ottobre 2026 e che l’intruso è riuscito a rimanere all’interno dell’infrastruttura cloud per quasi sei ore. In questo periodo sarebbero stati copiati circa 12 GB di dati da uno dei database interessati. La società considera esposti dati relativi a circa 28 milioni di account Discord, inclusi ID e username, informazioni IP e dati di geolocalizzazione approssimativa per circa 27 milioni di account, oltre a user-agent hash relativi a circa 25 milioni di account. La componente più delicata, però, riguarda gli indirizzi email: circa un milione sarebbero stati copiati integralmente. È una distinzione fondamentale, perché parlare semplicemente di “28 milioni di email rubate” sarebbe inesatto e trasformerebbe un incidente già grave in qualcosa di diverso da quello che le fonti hanno effettivamente documentato.

Il dettaglio che fa più paura è il punto d’ingresso

La parte che personalmente trovo più inquietante non è nemmeno il numero degli account coinvolti. È come è iniziato l’attacco.

Secondo il rapporto pubblicato da Double Counter, gli aggressori sarebbero entrati attraverso un server appartenente alla precedente infrastruttura di hosting dell’azienda. Non era più utilizzato per il normale funzionamento del servizio, ma era ancora raggiungibile e continuava a eseguire uno strumento analytics vulnerabile. Da quella macchina gli attaccanti avrebbero ottenuto credenziali che hanno permesso loro di raggiungere l’ambiente cloud operativo, muovendosi progressivamente attraverso l’infrastruttura e adattandosi alle contromisure messe in campo dall’azienda.

È il classico problema che nel mondo della sicurezza informatica continuiamo a vedere: non sempre serve sfondare la porta principale quando esiste una porta secondaria che qualcuno ha dimenticato di chiudere. Un server dismesso, un vecchio account, una chiave API non revocata o un software lasciato senza aggiornamenti possono trasformarsi nel punto di ingresso verso sistemi molto più importanti. Ed è proprio questo che rende l’incidente Double Counter particolarmente interessante anche al di là del mondo Discord. La sicurezza di un’infrastruttura non dipende soltanto da quanto sono protetti i sistemi che utilizziamo ogni giorno, ma anche da quanto siamo bravi a eliminare ciò che non utilizziamo più.

Cosa è finito nelle mani degli aggressori

Il quadro dei dati coinvolti richiede una certa precisione perché i numeri pubblicati non rappresentano tutti la stessa cosa.

Double Counter considera parzialmente copiati i dati relativi a circa 28 milioni di ID e username Discord. Lo stesso vale per una parte delle informazioni IP e di geolocalizzazione approssimativa collegate a circa 27 milioni di account. A questi si aggiungono circa 25 milioni di user-agent hash, utilizzati dal servizio per le proprie attività di rilevamento degli account alternativi. La società ha inoltre dichiarato che circa un milione di indirizzi email sono stati copiati. Una parte dei dati, invece, non sarebbe stata sottratta: tra questi figurano 15 milioni di record relativi al rilevamento delle VPN e altri database conservati separatamente.

La situazione è diventata ancora più concreta quando una parte dei dati è comparsa pubblicamente. I database di monitoraggio delle violazioni riportano circa 274.922 indirizzi email unici associati a username Discord nel corpus reso disponibile, una quantità che non deve essere confusa con il milione di indirizzi che Double Counter considera copiati durante l’attacco. Il dato pubblico rappresenta quindi una parte del materiale coinvolto, non necessariamente l’intera quantità di informazioni sottratte.

E qui arriviamo al punto fondamentale: non sono state rubate le password degli account Discord. Double Counter non le possiede e, secondo quanto comunicato dalla società, non sono stati esposti neppure i numeri completi delle carte di pagamento, che vengono gestiti dal relativo provider. Questo non rende l’incidente innocuo, ma permette di ridimensionare correttamente alcune delle paure che stanno inevitabilmente circolando online.

Il bot di sicurezza è diventato uno strumento d’attacco

C’è poi una situazione quasi paradossale: Double Counter esiste proprio per aumentare la sicurezza delle community Discord e durante l’attacco il suo stesso bot è stato trasformato in uno strumento per distribuire materiale potenzialmente malevolo.

Gli aggressori sono riusciti a impossessarsi del token utilizzato dal bot per autenticarsi su Discord. In questo modo hanno potuto utilizzare l’identità del servizio compromesso per pubblicare inviti verso il proprio server all’interno di circa 50 grandi community. La cosa particolarmente insidiosa è che quei messaggi non arrivavano apparentemente da un account sconosciuto appena entrato nel server: provenivano da un bot che gli amministratori avevano già autorizzato e di cui si fidavano.

Questo è esattamente il genere di attacco che dimostra quanto sia pericoloso concedere privilegi eccessivi ai bot. Se un servizio affidabile viene compromesso, l’attaccante eredita parte della fiducia che la community aveva riposto in quel servizio. Non serve quindi convincere ogni singolo utente a cliccare su un link proveniente da uno sconosciuto: basta compromettere uno strumento che gli utenti considerano già sicuro.

Ed è una lezione che vale molto più di Double Counter. Vale per qualsiasi bot Discord, qualsiasi integrazione esterna e qualsiasi applicazione alla quale concediamo permessi per gestire un server.

Discord prende le distanze, ma non può ignorare il problema

Discord ha sottolineato che si tratta di un incidente che coinvolge una applicazione di terze parti e non di una violazione diretta dei sistemi Discord. La piattaforma ha comunque disabilitato le nuove installazioni di Double Counter mentre lavora con il fornitore per comprendere l’intera portata dell’incidente e valutare ulteriori provvedimenti.

Dal punto di vista tecnico e legale, la distinzione è importante. Non possiamo raccontare questo episodio come se qualcuno avesse bucato direttamente i server di Discord e scaricato il database centrale della piattaforma. Sarebbe una ricostruzione sbagliata. Ma dal punto di vista dell’utente finale la differenza può sembrare molto meno rassicurante: se ho utilizzato un server che impiegava Double Counter per verificarmi, alcune informazioni relative al mio account potrebbero essere finite nell’infrastruttura di quel servizio.

Ed è proprio questo il problema della crescente dipendenza da servizi esterni. Ogni volta che colleghiamo un’applicazione al nostro account, autorizziamo un bot o utilizziamo un sistema di verifica, stiamo creando un ulteriore punto nel quale i nostri dati possono essere raccolti, elaborati e potenzialmente compromessi. Discord non deve necessariamente essere violato perché un utente Discord venga coinvolto in un incidente di sicurezza.

Lo abbiamo già visto nel 2025, quando un attacco a un fornitore esterno di servizi di assistenza clienti di Discord aveva coinvolto informazioni appartenenti a un numero limitato di utenti, comprese in alcuni casi immagini di documenti utilizzati per le verifiche dell’età. Anche allora Discord aveva specificato che non si trattava di una violazione diretta della propria infrastruttura.

Il vero rischio adesso è il phishing

La conseguenza più concreta per gli utenti non è quindi necessariamente il furto dell’account Discord. È la possibilità che informazioni apparentemente innocue vengano combinate con altri dati per costruire attacchi molto più convincenti.

Uno username Discord può essere associato a una community. Un indirizzo email può essere collegato a un’identità reale. Un IP può fornire informazioni geografiche approssimative. Un nome utente può essere utilizzato su più piattaforme. Presi singolarmente, questi dati potrebbero non essere sufficienti per compromettere un account. Messi insieme, però, possono diventare materiale prezioso per campagne di phishing, impersonificazione e social engineering.

Ed è proprio per questo che non bisogna aspettare di ricevere una mail che dice “sei stato hackerato”. Se avete utilizzato Double Counter o siete membri di community che lo utilizzavano, la prudenza deve aumentare soprattutto nei confronti dei messaggi privati, dei link inattesi e delle comunicazioni che cercano di spingerci a effettuare un accesso urgente.

Discord stessa raccomanda attenzione nei confronti dei bot e dei messaggi che chiedono di cliccare su link sospetti. In questo caso il pericolo aggiuntivo è proprio la possibilità che un messaggio sembri provenire da un servizio che l’utente conosce già.

Cosa devono fare gli amministratori dei server

Per chi gestisce una community, il problema è leggermente diverso.

Double Counter ha raccomandato agli amministratori di controllare l’audit log del proprio server per verificare eventuali attività anomale del bot nella finestra dell’attacco e di rimuovere eventuali messaggi o inviti pubblicati dal servizio compromesso. È una procedura che non dovrebbe essere considerata un semplice consiglio opzionale: quando un bot viene compromesso, bisogna verificare esattamente quali azioni abbia potuto compiere con i permessi ricevuti.

Questo incidente dovrebbe inoltre spingere molti amministratori a rivedere la propria lista di bot. Quanti sono realmente necessari? Quali dispongono dei permessi di amministratore? Quali non vengono più utilizzati? Quali possono essere sostituiti da strumenti nativi di Discord? È una manutenzione noiosa, ma la sicurezza informatica raramente consiste in qualcosa di spettacolare. Molto più spesso consiste nel togliere privilegi inutili, eliminare integrazioni obsolete e controllare periodicamente ciò che abbiamo autorizzato mesi o anni prima.

E per gli utenti normali?

Qui voglio evitare anche l’altra estremità del problema: il panico.

Non c’è motivo di cambiare immediatamente la password di Discord soltanto perché si è verificato questo incidente, dato che Double Counter non gestiva le password Discord e non ci sono indicazioni che queste siano state sottratte. Allo stesso tempo, se avete utilizzato servizi collegati a Double Counter o avete ricevuto comunicazioni sospette dopo il 4 ottobre, vale la pena aumentare il livello di attenzione.

Controllare se il proprio indirizzo email compare nei database pubblici delle violazioni può essere utile, ma bisogna ricordare che l’assenza da un archivio non dimostra che i dati non siano stati compromessi: significa semplicemente che quell’indirizzo non compare nel materiale noto a quel servizio. È una differenza importante, soprattutto quando l’incidente riguarda dataset più grandi dei soli dati pubblicati online.

E soprattutto, nessuno dovrebbe fornire password, codici di autenticazione o informazioni finanziarie a chiunque si presenti come Discord, Double Counter o come amministratore di un server. Se arriva un messaggio che sfrutta questa fuga di dati per creare urgenza, paura o curiosità, il primo istinto dovrebbe essere esattamente l’opposto: non cliccare.

Il problema più grande è la fiducia nella catena

Questa storia, secondo me, è interessante perché racconta perfettamente uno dei problemi della sicurezza digitale moderna. Noi tendiamo a pensare alla sicurezza come a una fortezza: proteggo il mio account, attivo l’autenticazione a due fattori, scelgo una password complessa e sono al sicuro.

La realtà è molto più complicata. Il nostro account può essere protetto benissimo e i nostri dati possono comunque finire in un database di un servizio che abbiamo utilizzato soltanto una volta. Possiamo non aver mai comunicato il nostro indirizzo email direttamente a Discord per una determinata attività, ma averlo fornito a un servizio di terze parti che lavora all’interno dell’ecosistema Discord. Possiamo non aver autorizzato personalmente un bot, ma essere entrati in un server che lo utilizzava per la verifica degli utenti.

La catena della fiducia è quindi molto più lunga di quanto immaginiamo.

E ogni anello aggiuntivo rappresenta una nuova superficie d’attacco.

Double Counter non è Discord, e dirlo è corretto. Ma questo incidente dimostra che per l’utente finale la sicurezza di un ecosistema non può essere valutata soltanto guardando alla piattaforma principale. Se un servizio esterno riesce a raccogliere milioni di identificativi, indirizzi IP e altri segnali degli utenti, la domanda da porsi diventa anche perché stiamo affidando tutti questi dati a quel servizio?

Verdetto dell’Inquisitore

Questa fuga di dati mi lascia una sensazione molto precisa: non tanto la paura che “Discord sia stato hackerato”, quanto la consapevolezza che continuiamo a costruire ecosistemi digitali nei quali la sicurezza dipende da una quantità enorme di soggetti diversi. Discord può proteggere la propria infrastruttura, ma se un bot di terze parti raccoglie informazioni su milioni di utenti e poi viene compromesso, una parte di quella sicurezza finisce inevitabilmente per dipendere dal modo in cui quel fornitore gestisce i propri server, le proprie credenziali e soprattutto le proprie vecchie infrastrutture.

Il dettaglio del server abbandonato, lasciato online con uno strumento vulnerabile e ancora capace di fornire un punto d’accesso all’infrastruttura operativa, è quello che personalmente trovo più grave. È la dimostrazione che non serve sempre una tecnica fantascientifica per provocare un danno enorme: a volte basta una risorsa dimenticata, una credenziale rimasta dove non dovrebbe essere e una catena di privilegi troppo lunga.

Non credo quindi che la lezione sia semplicemente “non usate Discord” o “non fidatevi dei bot”. Sarebbe una conclusione troppo facile. La lezione è imparare a chiederci quali dati stiamo consegnando, a chi li stiamo consegnando e perché quel servizio ne abbia realmente bisogno. E soprattutto dobbiamo smettere di considerare la sicurezza come qualcosa che riguarda esclusivamente la password del nostro account.

Perché oggi il nostro account potrebbe essere protetto alla perfezione e il problema potrebbe trovarsi tre passaggi più in là.

Avete mai utilizzato Double Counter per entrare in un server Discord? Avete controllato quali bot e quali applicazioni hanno ancora accesso alle vostre community? E soprattutto, secondo voi Discord dovrebbe imporre controlli molto più severi sui servizi di terze parti che raccolgono dati degli utenti all’interno della propria piattaforma? Raccontateci la vostra esperienza, i vostri dubbi e il vostro modo di gestire la sicurezza delle vostre community: Fatecelo sapere in Taverna.