Datenpanne legt 70.000 behördliche Ausweisdokumente von Discord-Nutzern offen: Was schieflief und wer betroffen ist

Discord hat das potenzielle Ausmaß der jüngsten Sicherheitsverletzung offengelegt. In einer aktualisierten Pressemitteilung gab das Unternehmen bekannt, dass die behördlichen Ausweisdokumente von möglicherweise 70.000 Mitgliedern seiner Plattform kompromittiert wurden. Die Datenpanne ereignete sich, nachdem Discord sich einer wachsenden Zahl von Technologieunternehmen angeschlossen hatte, die ihre Kunden dazu auffordern, ihr Mindestalter durch die Vorlage ihres Führerscheins oder anderer behördlicher Ausweisdokumente nachzuweisen.

Discord hatte ein System implementiert, bei dem Nutzer ein Selfie einsenden mussten, wenn sie auf der Plattform als minderjährig gemeldet wurden. Laut Discord entstand die Sicherheitslücke über einen nicht genannten externen Dienstleister, den das Unternehmen zur Unterstützung seines Kundenservice nutzt. Betroffen sind nur Nutzer, die mit dem Kundensupport oder dem Trust-&-Safety-Team kommuniziert hatten. Das Unternehmen erklärte zudem, dass nur jene Kundendaten gefährdet waren, die mit diesen Teams geteilt wurden. In der Erklärung heißt es auszugsweise:

Vor Kurzem haben wir einen Vorfall entdeckt, bei dem eine unbefugte Partei einen der externen Kundendienstleister von Discord kompromittiert hat. Die unbefugte Partei erlangte daraufhin Zugriff auf Informationen von einer begrenzten Anzahl von Nutzern, die Discord über unsere Teams für Kunden-Support und/oder Trust & Safety kontaktiert hatten.

Discord hat dem Dienstleister den Zugriff auf sein Ticket-System entzogen und untersucht den Vorfall in Zusammenarbeit mit den Strafverfolgungsbehörden weiter. Die offizielle Mitteilung besagt, dass folgende Kundendaten kompromittiert worden sein könnten:

• Name, Discord-Benutzername, E-Mail-Adresse und andere Kontaktdaten
• Eingeschränkte Abrechnungsinformationen, wie Zahlungsart, die letzten vier Ziffern der Kreditkarte und der Kaufverlauf
• IP-Adressen
• Nachrichten, die mit dem Kundendienstmitarbeiter ausgetauscht wurden
• Begrenzte Unternehmensdaten (Schulungsunterlagen, interne Präsentationen)
• Eine kleine Anzahl von Bildern behördlicher Ausweisdokumente 

Discord kontaktiert betroffene Nutzer, die eine E-Mail von noreply@discord.com erhalten werden. Das Unternehmen warnt, dass kein Telefonkontakt aufgenommen wird, um nichtsahnende Opfer zu schützen. Da immer mehr Unternehmen versuchen, lokale gesetzliche Bestimmungen zu erfüllen, indem sie Ausweisdokumente für den Zugang zu ihren Diensten verlangen, fragen sich viele Nutzer, was sie tun können, um sich vor solchen Datenpannen zu schützen. Einige greifen auf VPNs zurück, um ihren physischen Standort zu verschleiern; allerdings schränken einige beliebte Websites IP-Adressen, die mit VPNs in Verbindung stehen, bereits ein.