Discordロゴ

　コミュニケーションサービスを提供するDiscordは、同社が利用している外部ベンダーの1つが不正アクセスを受けたことを確認し、その事案について発表した。今回のインシデントは、Discordのサービスそのものが侵害されたわけではなく、カスタマーサービス業務を支援するために利用している外部サービスにおいて発生したものだとしている。 　この影響を受けたのは、Discordのカスタマーサポートチームや信頼・安全チームとやりとりを行った一部のユーザーである。それらのアカウントのうち、約7万人のユーザーについては、政府発行のID画像が流出した可能性があるとされている。これらのID画像は、年齢に関する異議申し立ての審査に使用されていた。 　不正アクセスを行った第三者は、Discordに対して金銭的な身代金を要求する目的で、同社のカスタマーサポートサービスを標的にし、ユーザーデータへのアクセスを試みた。流出の可能性がある情報には、次が含まれている。 Discordカスタマーサポートに提供された場合の氏名、Discordユーザー名、メールアドレス、その他の連絡先の詳細 アカウントに関連付けられている場合の支払タイプ、クレジットカードの下4桁、購入履歴などの限定的な請求情報 IPアドレス カスタマーサービスエージェントとのメッセージ 限定的な企業データ（研修資料、内部プレゼンテーションなど） 少数の政府発行ID画像 　一方で、完全なクレジットカード番号やCCVコード、カスタマーサポートとのやりとり以外のDiscord上のメッセージやアクティビティー、パスワードや認証情報については、今回の事案ではアクセスされた形跡は確認されていない。 　Discordは、攻撃を認識した直後から迅速に対応を開始している。具体的には、問題のカスタマーサポートプロバイダーが使用していたチケットシステムへのアクセス権を即座に剝奪（はくだつ）し、内部調査を開始。さらに、調査と復旧作業を支援するために、専門のコンピューターフォレンジック企業と契約し、法執行機関とも連携している。 　影響を受けたユーザーには現在、メールでの連絡を進めており、noreply@discord.comから通知が送られている。なお、この件に関してDiscordから電話で連絡することはないとしている。 　同社は、今後も引き続き適切な対応を継続するとしており、セキュリティとプライバシーの基準を維持するため、第三者システムに対する監査を頻繁に実施していく方針である。 　また、影響を受けたユーザーに対しては、不審なメッセージやその他の通信を受け取った場合には、引き続き警戒を怠らないよう注意を促している。