Filtración de datos de Discord (74 729 personas afectadas)

El registro de la Fiscalía General de Texas y las notificaciones enviadas a los usuarios afectados sitúan el acceso no autorizado el 20 de septiembre de 2025. El registro del organismo regulador señala que el incidente se descubrió el 25 de septiembre; Discord publicó su aviso el 3 de octubre y lo actualizó el 9 de octubre.

Discord afirmó que el responsable del acceso no autorizado atacó el servicio externo de soporte con el objetivo de exigir un rescate mediante extorsión. Los documentos públicos no revelan el método técnico utilizado para el acceso inicial.

El registro BR-0004706 de la Fiscalía General de Texas indica que hubo 74 729 personas afectadas en todo el país, entre ellas 1 465 residentes de Texas. La cifra de Texas forma parte del total nacional y no se ha sumado de nuevo.

Por separado, Discord afirmó que las fotografías de documentos de identidad oficiales de aproximadamente 70 000 usuarios podrían haber quedado expuestas después de que estos las enviaran para apelar decisiones relacionadas con la edad. Esta cifra no representa el número total de usuarios afectados, sino un subconjunto de las 74 729 personas afectadas por el incidente, con datos especialmente sensibles.

Discord indicó que los datos podrían haber incluido nombres, nombres de usuario de Discord, direcciones de correo electrónico y otros datos de contacto facilitados al servicio de soporte, direcciones IP, mensajes y archivos adjuntos compartidos con agentes de atención al cliente, el tipo de pago, los últimos cuatro dígitos de las tarjetas de pago y el historial de compras. En el caso de algunos usuarios, también se vieron afectadas imágenes de documentos de identidad oficiales, como licencias de conducir o pasaportes.

El registro de Texas también enumera direcciones y fechas de nacimiento. Los campos afectados podrían haber variado de una persona a otra. Discord afirmó que no se vieron afectados los números completos de las tarjetas ni sus códigos de seguridad, las contraseñas, los datos de autenticación ni los mensajes o la actividad en Discord fuera de las conversaciones con el servicio de soporte.

Las imágenes de documentos de identidad, las fechas de nacimiento y las direcciones pueden facilitar la suplantación de identidad o las solicitudes fraudulentas de apertura de cuentas. Las direcciones de correo electrónico, los nombres de usuario y el historial de soporte también pueden hacer más creíbles los mensajes de phishing que se hacen pasar por Discord.

Los mensajes y archivos adjuntos enviados al servicio de soporte pueden contener información distinta para cada persona. Los últimos cuatro dígitos de una tarjeta no bastan por sí solos para autorizar un pago completo, pero, combinados con el contexto de las compras y las consultas de soporte, pueden utilizarse en solicitudes falsas de reembolso, suscripción o recuperación de cuentas.

Discord afirmó que revocó el acceso de 5CA al sistema de solicitudes de soporte, inició una investigación interna y forense, recurrió a las fuerzas del orden y notificó a las autoridades de protección de datos pertinentes. También revisó los controles de auditoría y seguridad de los proveedores externos de soporte.

Discord indicó que solo contactaría con los usuarios afectados por correo electrónico desde noreply@discord.com y que no realizaría llamadas sobre este incidente. Por tanto, una llamada en la que se solicite información o un pago no concuerda con el aviso oficial de Discord.

Si le han informado de que una imagen de su documento de identidad podría haberse visto afectada, siga los pasos específicos para su país que figuran en la notificación y considere la supervisión de su historial crediticio, una alerta de fraude o una congelación del crédito, así como ponerse en contacto con la autoridad emisora cuando corresponda.

Si ha recibido una notificación, revise los movimientos de su tarjeta y sus compras en busca de transacciones que no reconozca, y acceda directamente a la aplicación o al sitio web oficiales de Discord en lugar de seguir enlaces en mensajes inesperados de soporte o recuperación de cuentas. Las contraseñas no estaban incluidas en el alcance notificado; no obstante, cambie una contraseña si la introdujo en una página fraudulenta o la reutilizó en otros sitios.