Double Counter, un bot de seguridad de Discord, ha revelado una brecha que expuso datos de usuarios después de que un atacante irrumpiera en sus sistemas en la nube el 4 de octubre de 2026. Los atacantes copiaron unos 12 GB de registros de la base de datos, y el token del bot robado se utilizó para publicar invitaciones no deseadas en aproximadamente 50 servidores grandes de Discord.

Según el informe oficial del incidente de Double Counter, el ataque está contenido y el servicio se restableció a las 19:19. Los investigadores auditaron 14 proyectos en la nube y no encontraron puertas traseras. La brecha afectó a la infraestructura del proveedor del bot, no se ha confirmado un compromiso de Discord en sí.

Brecha de seguridad de Double Counter

El atacante entró a través de un servidor antiguo de OVH de la configuración de alojamiento anterior de Double Counter. Aunque estaba desconectado del servicio activo, todavía ejecutaba una herramienta de análisis de Metabase accesible públicamente. Un fallo permitió al atacante falsificar una sesión de administrador y acceder a las credenciales almacenadas en el host.

Esos secretos incluían una clave de cuenta de servicio de la nube con derechos de administrador y una sesión de línea de comandos guardada de un administrador. Esto convirtió un servidor en desuso en un puente hacia los sistemas de producción. Debido a que el atacante reutilizó identidades válidas en lugar de crear cuentas, su actividad inicialmente pareció menos sospechosa.

Cybersecurity News informó previamente sobre un fallo de Metabase explotado activamente. Sin embargo, la revelación de Double Counter no menciona un CVE o aviso, por lo que vincular este incidente a esa vulnerabilidad específica sería prematuro.

El acceso a la nube comenzó a las 12:03. El atacante añadió una clave SSH, exportó una base de datos a un cubo de almacenamiento y abrió un shell dentro de un contenedor del bot. Ese shell expuso el token de Discord. El atacante nunca descargó la primera exportación de la base de datos.

El token robado permitió al atacante otorgar a su cuenta derechos de administrador en el servidor de soporte, revertir el baneo de un miembro del personal y enviar invitaciones bajo la identidad de Double Counter.

El personal invalidó el token a las 13:39, pero restaurar el bot con un reemplazo no eliminó el acceso del atacante a la nube. Leyeron el nuevo token en menos de dos minutos. Esto demuestra por qué cambiar un solo secreto no puede contener un ataque mientras el sistema que alberga ese secreto siga comprometido.

Más tarde, el atacante cambió la contraseña del administrador de la base de datos y copió registros entre las 15:09 y las 15:34. Revocar la clave de la cuenta de servicio también resultó insuficiente: cambiaron a la sesión de administrador robada. El acceso terminó solo después de que revocaran esas sesiones alrededor de las 17:55.

Double Counter considera que se han expuesto aproximadamente 28 millones de IDs y nombres de usuario de Discord y 27 millones de registros de direcciones IP y ubicación. También informa que se copiaron hashes de user-agent que cubren unos 25 millones de cuentas y aproximadamente un millón de direcciones de correo electrónico únicas. Estos grupos se solapan, por lo que sumarlos sobreestimaría el número de víctimas.

Solo se copió una parte de la tabla más grande de direcciones IP. Debido a que los investigadores no pueden identificar qué filas quedaron fuera, cuentan toda la tabla como expuesta. Have I Been Pwned enumera aproximadamente 275,000 direcciones de correo electrónico únicas en los datos publicados públicamente, un conjunto de datos menor que la exposición reportada por el proveedor.

Las contraseñas de Discord y los números de tarjeta almacenados no fueron expuestos. El almacenamiento en frío que cubre aproximadamente a 58 millones de usuarios no se vio afectado. Una clave de Stripe robada permitió cargos fraudulentos por 7,316 $ contra una tarjeta de empresa en la cuenta separada de Atis. Dos cargos de clientes fueron reembolsados.

Los equipos de respuesta cerraron el servidor antiguo, revocaron el acceso a la nube, rotaron las credenciales, eliminaron los webhooks expuestos y movieron las bases de datos detrás de una red privada. El token ahora utiliza un almacenamiento de secretos dedicado. El registro de acceso a secretos y el monitoreo continuo respaldan ahora el servicio restaurado.