O Discord estaria enfrentando extorsão após o roubo de 2.1 milhões de fotos de identificação de usuários.

A violação ocorreu em 20 de setembro de 2025, quando invasores entraram no sistema de suporte ao cliente do Discord e obtiveram documentos pessoais confidenciais, incluindo carteiras de motorista e passaportes.

O ataque teve como alvo o Discord. Sistema de suporte ZendeskA violação expôs 2,185,151 fotos pertencentes a 2.1 milhões de usuários que enviaram documentos de identidade para verificação de idade. O Discord esperou quase duas semanas antes de anunciar publicamente a violação em 3 de outubro de 2025.

Que informações foram roubadas?

Os hackers acessaram mais do que apenas fotos. Eles também obtiveram nomes, endereços de e-mail, nomes de usuário do Discord e mensagens enviadas pelos usuários ao suporte ao cliente. Alguns usuários tiveram seus endereços IP expostos, juntamente com informações de pagamento limitadas — especificamente os quatro últimos dígitos dos números de cartão de crédito e o histórico de compras.

O Discord confirmou que números de cartão de crédito completos, senhas e mensagens de bate-papo comuns entre usuários não foram acessados. A violação afetou apenas pessoas que entraram em contato com o Suporte ao Cliente ou com as equipes de Confiança e Segurança do Discord.

Segundo pesquisadores de segurança, os atacantes afirmam ter 1.5 terabytes de dados. Trata-se de uma quantidade enorme de informações pessoais agora em mãos criminosas.

Como o hack aconteceu

A invasão não teve como alvo direto os sistemas principais do Discord. Em vez disso, os hackers usaram engenharia social táticas — manipular pessoas em vez de explorar falhas de software — para comprometer o provedor de suporte terceirizado.

Um grupo que se autodenomina Scattered Lapsus$ Hunters reivindicou a autoria do ataque. Essa coalizão combina táticas de grupos de hackers conhecidos como Scattered Spider, Lapsu$ e ShinyHunters. Eles publicaram capturas de tela no Telegram mostrando que tinham acesso às ferramentas internas e aos painéis administrativos do Discord, zombando das medidas de segurança da empresa.

Fonte: @vxunderground

No entanto, há confusão sobre quem realmente realizou o ataque. O grupo sugeriu posteriormente que outra equipe, que eles conhecem, foi responsável pela invasão.

Leis de verificação de idade criam novos riscos

Essa violação destaca grandes preocupações sobre os novos requisitos de verificação de idade. O Reino Unido aprovou a Lei de Segurança Online em julho de 2025, obrigando plataformas como o Discord a verificar a idade dos usuários por meio da consulta de documentos de identidade emitidos pelo governo. Vários estados americanos seguiram o exemplo com leis semelhantes — Ohio e Arizona promulgaram suas versões no final de setembro de 2025.

O Discord prometeu aos usuários que as fotos de identificação seriam "excluídas imediatamente após a confirmação da sua faixa etária". No entanto, os dados roubados vieram de usuários que recorreram das decisões de verificação de idade, o que significa que o sistema de suporte do Discord manteve cópias desses documentos.

Especialistas em privacidade alertaram que isso poderia acontecer. Quando empresas coletam e armazenam grandes quantidades de documentos de identidade sensíveis, elas se tornam alvos atraentes para hackers. Essa violação de segurança no Discord comprova que esses temores eram justificados.

Impacto na comunidade criptográfica

A violação representa sérios riscos para os usuários de criptomoedas no Discord. Muitos projetos de criptomoedas, comunidades NFT e redes blockchain usam o Discord como seu principal centro de comunicação. Desenvolvedores, traders e investidores discutem regularmente tópicos sensíveis nesses espaços.

Alon Gal, Diretor de Tecnologia da Hudson Rock explicou o perigo"Se vazar, esse banco de dados será enorme para solucionar golpes e fraudes relacionados a criptomoedas, porque os golpistas geralmente não se lembram de usar um e-mail descartável e VPN, e quase todos eles estão no Discord."

Os dados roubados podem ajudar criminosos a identificar influenciadores do mercado de criptomoedas, traders com participações significativas e desenvolvedores de projetos. Hackers podem usar essas informações para ataques de phishing direcionados, roubo de identidade ou esquemas de extorsão. O nome real de alguém, detalhes de localização obtidos em fotos de documentos e a atividade no Discord criam um perfil detalhado que os criminosos podem explorar.

O momento é particularmente ruim, visto que o Discord tem mais de 200 milhões de usuários mensais, com uma parcela significativa envolvida em comunidades de criptomoedas e blockchain.

Existem soluções melhores

As empresas de tecnologia não precisam coletar e armazenar milhões de fotos de documentos de identidade para verificar a idade. As provas de conhecimento zero oferecem uma alternativa que respeita a privacidade, confirmando matematicamente a idade de alguém sem revelar sua identidade completa ou armazenar documentos sensíveis.

A Concordium, uma plataforma blockchain, lançou em agosto um aplicativo móvel que utiliza essa tecnologia. Os usuários podem comprovar que têm mais de 18 anos sem compartilhar sua identidade real com nenhuma empresa. Google Wallet Também foram integradas provas de conhecimento zero para verificação de idade em abril de 2025.

Esses sistemas impedem o acúmulo de fotos de documentos em servidores que podem ser invadidos. Se o Discord tivesse usado provas de conhecimento zero em vez de coletar imagens de documentos de identidade, essa violação teria exposto muito menos informações sensíveis.

Resposta do Discord e ações do usuário

O Discord imediatamente cortou o acesso do provedor de suporte comprometido e acionou especialistas em perícia forense digital. A empresa notificou as autoridades policiais e de proteção de dados sobre a violação.

Os usuários afetados estão recebendo e-mails de noreply@discord.com — o único canal oficial do Discord para notificações de violação de dados. A empresa alertou que nunca ligará para os usuários sobre este incidente. Os usuários devem ficar atentos a e-mails de phishing que se fazem passar pelo Discord, pois os golpistas costumam explorar violações de dados para roubar mais informações.

Este é o terceiro incidente de segurança do Discord em 2025. A plataforma já havia lidado com a distribuição do ransomware Epsilon Red em julho e com um ataque de malware por meio de sua Rede de Distribuição de Conteúdo (CDN) em agosto.

Concluindo!

Essa violação demonstra exatamente o que os defensores da privacidade temiam sobre a coleta obrigatória de documentos de identidade. Quando as empresas armazenam milhões de documentos sensíveis em bancos de dados centralizados, elas criam alvos irresistíveis para hackers. Os 2.1 milhões de usuários do Discord que confiaram seus documentos de identidade governamentais à plataforma agora enfrentam potenciais riscos de roubo de identidade.

Para os usuários de criptomoedas, a situação é particularmente preocupante, dado o papel central do Discord nas comunidades blockchain. Existem tecnologias de privacidade melhores, e as empresas deveriam adotá-las antes que mais informações pessoais caiam em mãos criminosas.