Discord sotto ricatto per l'attacco hacker: richiesti milioni di dollari, ma non pagherà

La vicenda della violazione di sicurezza subita da Discord, riportata nei giorni scorsi, si tinge di nuove sfumature e dettagli. Un gruppo di hacker ha rivendicato il furto di 1,6 terabyte di informazioni, presumibilmente appartenenti a 5,5 milioni di utenti della piattaforma.

Secondo le dichiarazioni dei criminali informatici, la violazione avrebbe avuto origine da un account compromesso di un agente del servizio clienti, appartenente a un fornitore esterno (BPO) che collabora con Discord attraverso il sistema di assistenza Zendesk. Gli hacker sostengono di aver avuto 58 ore di accesso ai dati, dal 20 settembre 2025, riuscendo a scaricare milioni di ticket di supporto, 1,5 TB di allegati e oltre 100 GB di trascrizioni.

Tra le informazioni sottratte ci sono indirizzi e-mail, numeri di telefono, dati parziali di pagamento, date di nascita e informazioni legate all'autenticazione a due fattori. Gli attaccanti affermano, inoltre, di aver trovato oltre 520.000 richieste di verifica dell'età, suggerendo che il numero di documenti d'identità trafugati possa essere superiore ai 70.000 dichiarati da Discord.

Discord: la società conferma l'attacco hacker

La società ha confermato che l'incidente ha coinvolto un servizio di terze parti, ma ha smentito la portata del furto, sottolineando che non si è trattato di una violazione diretta dei propri sistemi.

"I numeri diffusi sono errati e fanno parte di un tentativo di estorsione", ha dichiarato un portavoce a BleepingComputer. Discord ha inoltre ribadito di non voler pagare alcun riscatto, definendo l'attacco "un'azione illegale" che non sarà in alcun modo premiata.

Gli hacker avrebbero inizialmente chiesto 5 milioni di dollari, ridotti successivamente a 3,5 milioni, con la minaccia di pubblicare i dati rubati se Discord non soddisferà le richieste. Dopo alcuni giorni di trattative private tra il 25 settembre e il 2 ottobre, l'azienda avrebbe interrotto le comunicazioni e diffuso la dichiarazione pubblica. Discord non ha risposto alle ulteriori domande sui motivi per cui conservasse le copie dei documenti d'identità dopo aver verificato l'età.