Um incidente envolvendo o sistema de atendimento ao cliente utilizado pelo Discord voltou a acender o alerta sobre os riscos das terceirizações. Hackers afirmam ter extraído 1,6 TB de dados da instância de suporte (Zendesk) ligada ao serviço, incluindo anexos de tickets, transcrições e arquivos de verificação de idade.
O Discord, por sua vez, contesta a narrativa, descrevendo o caso como um comprometimento de um prestador terceirizado e não um vazamento direto da plataforma.
O que as partes estão dizendo
Segundo os criminosos, a operação teria ocorrido entre 20 e 22 de setembro de 2025, quando um agente terceirizado teve sua conta comprometida, permitindo acesso a ferramentas internas do fluxo de suporte. Já o Discord afirma que parte dos números divulgados está inflada com o objetivo de extorsão e declarou ter identificado aproximadamente 70.000 usuários cujas fotos de documentos governamentais podem ter sido expostas. A empresa diz ter revogado o acesso do fornecedor e iniciado uma investigação forense.
Na versão dos invasores, foram comprometidos cerca de 8,4 milhões de tickets, afetando 5,5 milhões de usuários únicos. Aproximadamente 580.000 registros conteriam algum tipo de dado de pagamento parcial e uma massa de 1,5 TB apenas em anexos. Eles também afirmam possuir amostras do conjunto de dados, que incluiriam e-mails, nomes de usuário do Discord, números de telefone, partes de informações de pagamento, datas de nascimento e dados relacionados à autenticação multifator. Nenhuma dessas alegações foi confirmada de forma independente.
O recorte sensível: fotos de documentos de identidade
Uma das alegações mais sensíveis envolve imagens de documentos de identidade usadas no processo de verificação de idade. Enquanto os atacantes afirmam possuir milhões dessas imagens, o Discord reduziu esse número e informou publicamente que, até o momento, identificou cerca de 70.000 fotos de IDs que podem ter sido expostas, todas relacionadas a solicitações de apelação de idade que passaram pelo fluxo de atendimento terceirizado. O caso reacende discussões sobre a necessidade de políticas mais rígidas de retenção e exclusão desses dados.
O grupo criminoso inicialmente exigiu 5 milhões de dólares de resgate, depois reduzindo o valor para 3,5 milhões, em negociações privadas com o Discord. Após o encerramento das comunicações, a empresa afirmou que não pagaria os responsáveis e publicou um comunicado oficial sobre o incidente. O Discord reiterou que nenhuma mensagem privada ou dado fora do ambiente de suporte foi comprometido e disse estar cooperando com autoridades competentes.
Riscos práticos para usuários
Mesmo com a empresa reduzindo o alcance do incidente, o risco permanece alto. Fotos de documentos governamentais, mesmo isoladas, podem ser usadas em fraudes de identidade e golpes de engenharia social. Fragmentos de informações de pagamento aumentam o perigo de campanhas de phishing direcionadas. Especialistas reforçam que a terceirização de serviços não exime a empresa da responsabilidade sobre a proteção dos dados.
Incidentes como este mostram uma tendência crescente: fornecedores terceirizados e serviços de atendimento tornaram-se alvos frequentes por atacantes que buscam “atalhos” para acessar sistemas maiores. Ao comprometer um agente com credenciais válidas, os invasores conseguem usar integrações e ferramentas internas para consultar dados sem precisar explorar vulnerabilidades diretas. Isso reforça a importância de controles de privilégio, segmentação e auditoria constante de acessos.
Ficha rápida do incidente
| Item | Detalhe | Por que importa |
|---|---|---|
| Origem | Instância de suporte (Zendesk) ligada a fornecedor terceirizado | Vetores via terceiros ampliam riscos e responsabilidade legal. |
| Período | 58 horas a partir de 20 de setembro de 2025 (segundo os atacantes) | Determina o alcance e o volume dos dados extraídos. |
| Volume alegado | 1,6 TB de dados, 8,4 milhões de tickets e 5,5 milhões de usuários | Indicaria um dos maiores vazamentos relacionados a suporte terceirizado. |
| Fotos de ID expostas | Cerca de 70.000, segundo o Discord | Documentos de identidade são altamente sensíveis e exigem resposta rápida. |
| Valor exigido | De 5 milhões para 3,5 milhões de dólares | Motivação financeira que levou à ameaça de divulgação pública dos dados. |
| Resposta do Discord | Revogou acessos, não pagou resgate e iniciou investigação | Medidas iniciais de contenção e mitigação do incidente. |
