Violação de dados do Discord (74.729 pessoas afetadas)

O registro da Procuradoria-Geral do Texas e as notificações enviadas aos usuários afetados apontam 20 de setembro de 2025 como a data do acesso não autorizado. O registro do órgão regulador informa que o incidente foi descoberto em 25 de setembro; o Discord publicou seu comunicado em 3 de outubro e o atualizou em 9 de outubro.

O Discord afirmou que o responsável pelo acesso não autorizado atacou o serviço de suporte terceirizado com o objetivo de extorquir um pagamento de resgate. Os documentos públicos não revelam o método técnico usado para obter o acesso inicial.

O registro BR-0004706 da Procuradoria-Geral do Texas informa que 74.729 pessoas foram afetadas em todo o país, incluindo 1.465 residentes do Texas. O número referente ao Texas faz parte do total nacional e não foi somado novamente.

Em uma declaração separada, o Discord afirmou que aproximadamente 70.000 usuários podem ter tido fotos de documentos oficiais de identificação expostas após enviá-las ao solicitar a revisão de decisões relacionadas à idade. Esse número não representa o total de usuários; trata-se de um subconjunto com dados sensíveis dentro do incidente que afetou 74.729 pessoas.

O Discord afirmou que os dados podem ter incluído nomes, nomes de usuário do Discord, endereços de email e outros dados de contato fornecidos ao suporte, endereços IP, mensagens e anexos compartilhados com atendentes, forma de pagamento, os quatro últimos dígitos do cartão de pagamento e histórico de compras. Para alguns usuários, o incidente envolveu imagens de documentos oficiais de identificação, como carteiras de habilitação ou passaportes.

O registro do Texas também lista endereços e datas de nascimento. Os campos podem ter variado de pessoa para pessoa. O Discord afirmou que o incidente não envolveu números completos de cartões nem códigos de segurança, senhas, dados de autenticação ou mensagens e atividades no Discord fora das conversas com o suporte.

Imagens de documentos de identificação, datas de nascimento e endereços podem facilitar o roubo de identidade ou pedidos fraudulentos de abertura de contas. Endereços de email, nomes de usuário e histórico de atendimento também podem tornar mais convincentes as mensagens de phishing que se passam pelo Discord.

As mensagens e os anexos enviados ao suporte podem conter detalhes diferentes para cada pessoa. Os quatro últimos dígitos de um cartão, por si só, não permitem autorizar um pagamento completo, mas, combinados com informações sobre compras e atendimentos, podem ser usados em solicitações fraudulentas de reembolso, assinatura ou recuperação de conta.

O Discord afirmou que revogou o acesso da 5CA ao sistema de chamados de suporte, iniciou uma investigação interna e forense, acionou as autoridades policiais e notificou as autoridades competentes de proteção de dados. Também revisou os controles de auditoria e segurança das prestadoras terceirizadas de suporte.

O Discord afirmou que os usuários afetados seriam contatados apenas por email, pelo endereço noreply@discord.com, e que não faria ligações sobre esse incidente. Portanto, uma ligação solicitando informações ou pagamento não condiz com o comunicado oficial do Discord.

Se você foi informado de que uma imagem do seu documento de identificação pode ter sido envolvida no incidente, siga as orientações específicas para seu país apresentadas na notificação. Considere monitorar seu crédito, solicitar um alerta de fraude ou um bloqueio de crédito e entrar em contato com o órgão emissor, quando apropriado.

Se você recebeu uma notificação, verifique a movimentação do cartão e o histórico de compras em busca de transações que não reconheça. Acesse diretamente o aplicativo ou site oficial do Discord, em vez de seguir links em mensagens inesperadas de suporte ou recuperação de conta. As senhas não estavam no escopo informado do incidente; ainda assim, altere uma senha se você a inseriu em uma página fraudulenta ou se a reutilizou em outros serviços.