Discord is weer indirect getroffen door datalek: 28 miljoen accounts slachtoffer

Chatdienst Discord is opnieuw getroffen door een cyberaanval via een derde partij. De beveiligingsdienst Double Counter meldt dat er daarbij tot 28 miljoen Discord-gebruikersnamen en IP-adressen zijn gestolen. Ook zijn er een miljoen e-mailadressen buitgemaakt. Voor zover bekend zijn er geen gevoeligere gebruikersgegevens gestolen.

Double Counter erkent in een blogpost dat het slachtoffer is geworden van een 'gerichte meertrapsaanval'. Het gaat om een aanval op een oude server via een kwetsbaarheid in een analyticstool. Daarbij verkregen de aanvallers toegang tot de opslag van het bedrijf.

Wat is Double Counter?

Double Counter is een geautomatiseerde moderatietool. Beheerders van servers op Discord kunnen de bot toevoegen aan hun server. Vervolgens moet de tool automatisch voorkomen dat gebruikers servers ongewenst betreden met een alternatief account (alt) of als onderdeel van grote, kwaadwillende groepen.

Bij de aanval kregen de criminelen toegang tot ongeveer 28 miljoen Discord-gebruikersnamen en -accountnamen. Ook zagen zij 27 miljoen IP-adressen en de bijbehorende fysieke locaties. Het is onduidelijk hoeveel van deze gegevens daadwerkelijk gestolen zijn. Het bedrijf beschouwt de gegevens als ingezien en daarom gecompromitteerd.

Wel is duidelijk dat er 25 miljoen gehashte codes voor gebruikersidentificatie en een miljoen e-mailadressen zijn buitgemaakt. Het is onduidelijk of de aanvallers iets met de versleutelde codes kunnen. Double Counter gebruikt deze codes om alts te identificeren.

Tweede massale datalek

Het is de tweede keer in iets meer dan een jaar dat Discord indirect betrokken is bij een grootschalig datalek. Op 4 oktober 2025 werd bekend dat een extern klantenservicebedrijf was gehackt en dat daarbij ID-bewijzen werden gestolen.

Discord is een chatdienst met een videobelfunctie, servers en kanalen, streamfuncties en grootschalige game-integraties. De dienst richt zich voornamelijk op gamers. Het is onduidelijk waarom specifiek bij Discord betrokken derden nu al twee keer doelwit zijn van een gerichte cyberaanval.

Reacties (46)

[Frikandel]

Het is een schande dat Discord deze bot zo lang heeft laten bestaan. Zo verkopen ze onder andere dat je tegen betaling kan kijken welke Discord-accounts van hetzelfde IP-adres gebruikmaken (zie Doogle). Let wel op dat dit alleen om Discord users gaat die dus ooit via deze bot zichzelf hebben 'geverifieerd', iets dat sommige servers verplichten.

Ook dit datalek is op een slechte manier afgehandeld. In de gelinkte security blog (die overduidelijk volledig door AI is geschreven en afgehandeld) zie je dat de eigenaar meerdere keren de bot opnieuw start met een nieuwe token, terwijl de aanvallers gewoon nog toegang hebben tot de server. De blog is nu aangepast, maar ze probeerden de impact erg te minimaliseren.

Dit is ook het geval in de aankondiging op hun Discord-server. Deze is zondagnacht gepost, ongeveer een halve dag nadat het is gebeurd. Ik zal hem niet volledig posten, maar dit zijn een aantal quotes:

[..]
They also managed to export a small part of a Double Counter database stored on this machine, and charge our company card, before all access was cut off. At this point in time, all known access has been revoked, and Double Counter is operational. All financial data for our paying customers is entirely safe. Appropriate measures have been taken, unauthorised accesses have been revoked, all secrets rotated.

Vooral het claimen dat het om weinig data gaat is bijzonder. Ook claimen dat alle financiële data veilig is (is ook uitgelekt) en vooral focussen op dat de bot nog online is.

Given the seriousness of this attack, its malicious character and the (failed) attackers' attempts to charge our customers' credit cards, we will be starting legal proceedings as soon as tomorrow. Our lawyer has already received all logs and identities from Discord, as well as technical indicators from our machines and logs, and will be issuing a formal complaint tomorrow.

Het lijkt mij sterk dat ze binnen een halve dag dit soort data van Discord hebben ontvangen.

[Reactie gewijzigd door Frikandel op 7 oktober 2026 21:13]

[watercoolertje]

Geen data buitgemaakt maar gefaalt in het uitbuiten van de CC gegevens, idd compleet tegenstrijdige bullshit van die gasten!

[Tweakez]

Of het een schande is laat ik in het midden, maar Double Counter is gewoon door de recente intents-verificatie van Discord gekomen. Discord vindt het blijkbaar prima. De afhandeling van dit lek is inderdaad slecht, daar ben ik het mee eens.

Het grotere probleem is dat servers überhaupt naar dit soort bots moeten grijpen. Discord zit vol met spam- en scamaccounts. Ze doen wat checks op e-mail, IP en telefoonnummer, maar daar blijft het bij. Neem de bio's met scamlinks, gecombineerd met berichten als "check my profile/bio for support". Discord noemt bio's privacygevoelig en geeft ze niet vrij via de API, dus geen enkele moderatiebot kan daarop acteren. De workarounds die er zijn gaan tegen hun beleid in en zelf doen ze er niks tegen. Ja ze breiden de hoeveelheid karakters uit die je mag gebruiken

Feedback geven helpt ook niet. Feature requests worden zonder reactie verwijderd van hun feedbackplatform, en een ticket daarover wordt direct gesloten. (Disclaimer: ik ontwikkel en beheer zelf een Discord-bot die veel in gebruik is, dus ik loop hier dagelijks tegenaan.)

Zolang Discord dit niet zelf fatsoenlijk oplost, blijven servers afhankelijk van externe bots die allemaal data verzamelen. Dan is het wachten tot de volgende grote bot (MEE6, Wick, noem maar op (mijn bot mocht daar een lek in zitten door whatever package) ) hetzelfde overkomt.

[protected22]

(Verwijderd)

[Reactie gewijzigd door protected22 op 8 oktober 2026 11:51]

[Moondark]

Hierom ben ik blij dat er geen age verification is.
Op dit moment zou mijn Id of een deel ervan buitegemaakt kunnen zijn.
Wat dus inhoudt dat iemand met mijn Identeit kan frauderen in verweggistan.
Mocht ik ooit op vakantie gaan daarheen dan kan ik zo maar aangehouden worden terwijl ik niks gedaan heb.
Zolang er geen veilige manier is om gevoelige gegevens digitaal te bewaren zal ik niet meedoen met Age Verification of ID verification want alles wat naar een bedrijf gaat kan gehacked worden... Nu kan ik mijn ID laten zien en daarmee is het klaar niemand die iets opslaat alleen de geboorte datum checken of ik oud genoeg ben.
Discord wordt mij iets te vaak gehacked...
volgens mij al de 2e of 3e keer dit jaar...
Digitale ID/Age verification ect ect ect allemaal onveilig....

[Bulls]

Nou inderdaad, gaat nog wel een probleem worden. En ik hoor de voorstanders van die ID checks al weer roepen om een gecentraliseerd platvorm in plaats van individuele sites en diensten die de gegevens gaan vragen en opslaan. Men vraagt gewoon zelf om meer beperking en surveillance.

Typisch gevalletje: Problem, Reaction, Solution.

[Reactie gewijzigd door Bulls op 7 oktober 2026 20:53]

[Moondark]

Iedereen die voor is die werkt zelf de controle staat mee. (want voelt zich daar veilig bij)
Ik hoop dat ze snel stoppen met Age verification enzo. Want op dit moment is het hele internet gewoon niet veilig om uberhoudt gevoelige gegevens in op te slaan... (ook wachtwoorden en email adressen bank gegevens 0 op je pc hebben staan alles op papier schrijven) Kans gehacked te worden is groter dan dat er bij je ingebroken wordt..

[Jorrie]

Er is sinds vorige maand juist wel een age verification. In je profiel kan je kijken in welke leeftijdscategorie je zit. Ze hebben de check tegenwoordig op een andere manier opgevoerd zodat je niet met je ID hoeft te verifiëren.

[Moondark]

Ok die heb ik van de week niet hoeven te gebruiken moet wel zeggen dat mijn discord denk al dateert uit 2006/2008

[Jorrie]

Dat zou wel bijzonder zijn want Discord is uitgekomen in 2015

[Moondark]

je kan gelijk hebben hoor ik weet iig dat ik vroeger ook al iets van discord gebruikte of een ander programma om via online games te voice chatten... maar kan ook 2015 zijn geweest.

[Dutch_CroniC]

Teamspeak of Ventrillo maybe

[Eren]

Er is wel leeftijd verificatie. Gister nog een melding. Alleen zat ik op mijn iPhone en kreeg ik de optie dat Apple voor me verifieerde met alleen ' ja, ik ben een volwassen man'. Apple geverifieerd 18+, dan accepteert Discord ook dat je 18+ bent. Weet niet hoe het gaat op via andere platformen, maar het komt er zeker wel aan.

En dit is op een discord account die al 10-11 jaar oud is.

[Moondark]

Ik persoonlijk ben hem afgelopen week niet tegen gekomen ik heb die van mij ooit in 2006/2008 aangemaakt en gebruik nog steeds dezelfde discord. Dus mijn discord is 18/20 jaar oud misschien is dat het (iig gebruik via de telefoon dan) Geen pop up of iets gehad dat ik mijn leeftijd moest verifiëren.

[Llopigat]

Hm, gelukkig gebruik ik alleen valse identiteiten bij Discord (en bij eigenlijk alle social media). Ik heb er een stuk of wat accounts. Maar blij dat ik dat gedaan heb.

Ik moet al die mailboxen eens nalezen of mijn accounts getroffen zijn hierdoor, want die lees ik normaal niet omdat het niet mijn echte mailboxen zijn.

Je echte online identiteit is te waardevol om aan bedrijven te geven, ik doe dat eigenlijk alleen als ze me iets moeten sturen of het echt iets belangrijks is als een bank. Helaas wordt het wel steeds moeilijker door al die leeftijdsverificatie onzin.

[Reactie gewijzigd door Llopigat op 7 oktober 2026 20:35]

[Mizgala28]

Vraag is alleen hoe lang men dat nog vol gaat houden, want "om kinderen te beschermen" moeten mensen bij dit type diensten hun echte ID opgeven op ten duur (wat helemaal niet nodig zou moeten zijn, but oh well)

Maar dat zei je zelf ook al net.

Ik gebruik Discord niet (geen behoefte eraan ook al ben ik een gamer), qua Reddit ben ik weer puur een lurker, ik heb daar geen account en irriteer mij ook mateloos aan gepush daarvoor.

Blijft schandalig, maar al die bedrijven weten dat ze er binnen 3 tellen en een "sowwy" meestal vanaf komen.

[Reactie gewijzigd door Mizgala28 op 7 oktober 2026 21:41]

[Cerebriform]

Ik probeerde wel eens een Gmail aan te maken voor zoiets maar moest toen een telefoonnummer hebben. Hoe doe jij dit? Zou het ook willen doen.

[Llopigat]

Tegenwoordig gebruik ik proton voor mijn sockpuppets. Die vereisen geen telefoonnummer. Het vervelende is wel dat sommige diensten accounts met een proton adres weigeren of gewoon domweg stilletjes de email bevestiging ("klik hier om je email te bevestigen") niet versturen zodat je het account niet kan aanmaken. Dat had ik bijvoorbeeld bij archive.org. Ik wou daar een oude CD-ROM met drivers uploaden om die te vereeuwigen maar het was iets waar in principe ooit copyright op zat dus ik wou dat natuurlijk niet onder mijn echte naam doen. Uiteindelijk heb ik ze toen gemaild en toen hebben ze het handmatig bevestigd.

Maar met discord e.d. heb ik daar geen problemen mee gehad.

Met gmail kon je wel een tijd zonder telefoonnummer aanmaken als je een android emulator startte. Op een gewone android telefoon kon het ook, maar dan ben je wel gelijk gelinkt aan het serienummer daarvan natuurlijk (met een emu is dat niet het geval). Maar ik weet niet of dat nog mogelijk is. Ook heb ik begrepen dat ze soms zomaar opeens een telefoonnummer vereisen op een al bestaand account. Vervelend maar ik gebruik dan ook geen google meer.

[Reactie gewijzigd door Llopigat op 8 oktober 2026 09:24]

[MineTurtle]

Voor zo ver ik weet is dit alleen van toepassing als je ooit een Discord 'server' bent gejoined en je hebt geverifieerd via de doublecounter bot.

Het is dus (gelukkig) niet vanzelfsprekend dat wanneer je Discord hebt dat je automatisch meteen getroffen bent. Dit was voor mij na het lezen van het artikel niet helemaal duidelijk, maar na wat research dus wel.

[Reactie gewijzigd door MineTurtle op 7 oktober 2026 20:52]

[protected22]

Ja dat klopt inderdaad. Alleen als je ooit je hebt geverifieerd via hun bot, sta je in hun globale database.

[dictatortje]

here we go again

[theduke1989]

Ik gebruik altijd neo namen spambox emails. Daar mogen ze alles naar toe sturen . Dit vult de dirtyness en spams door de Google servers

[Cerebriform]

Gebruik je neo voor al je mail of alleen dit soort accounts?

[BHD294]

Daarom voor mij geen Discord, geen vertrouwen in de zaken daar. Aangezien het niet de eerste keer is daar. Maarja gezien de hoeveelheid lekken overal is je data wel ergens anders gelekt helaas😵‍💫.

[keranoz]

Maar in hoeverre kan je hier Discord de schuld van geven? Moeten ze striktere checks op partijen waar ze mee koppelen? Dat lijkt me niet te doen toch?

[Marrtijn]

Waarom moet er uberhaupt een derde partij zijn voor deze functie?

[CPV]

Als je iemand toegang geeft tot je zij-ingang, moet je hem toch kunnen vertrouwen.

[blitzah]

ochja tegenwoordig heeft elk bedrijf wel een datalek. zie het dagelijks op social media, nieuw enzovoort.. het nieuwe normaal..

[Reactie gewijzigd door blitzah op 7 oktober 2026 20:59]

[Jol65]

Bij ID-plicht wil je geen lekken. Maar geen ID-plicht omdat platforms lekken is de omgekeerde wereld. Platforms moeten zorgen dat gegevens niet lekken. En er zijn er best een aantal die dat lukt. Voor de rest is misschien geen bestaansrecht meer.

[Carlos0_0]

Scheelt ik mijn account toch volgens mij verwijderd heb, ieder geval nog even bij Playstation gekeken en hier stond disbord wel gekoppeld.
Deze toch ook nog maar even verwijderd voor de zekerheid, dit was ik vergeten.

Zal vast niet verder veel uitmaken, maar goed heb en gebruik discard toch niet. dus hoef er ook niks gekoppeld te zijn .

[Reactie gewijzigd door Carlos0_0 op 7 oktober 2026 22:49]

[MachIII]

Precies, sinds ik vorige week moest laten weten hoe oud ik was om van alles gebruik te mogen maken, is mijn mouse-pointer meteen richting 'delete account' gegaan.

[Carlos0_0]

Ja heb nog even gechecked met wachtwoord opvragen, maar mijn email adressen konden niet gevonden worden in de database.
Gebruikte het sowieso al lang niet meer, denk dat mijn account vorig jaar al verwijderd heb(Toen eens einde van jaar ofzo opruim actie begonnen in de dagen dat ik vrij was).