Bei einem Cyberangriff auf den Discord-Sicherheitsdienst Double Counter sind Daten von bis zu 28 Millionen Discord-Konten abgeflossen. Der Angreifer verschaffte sich über einen stillgelegten Server Zugang zur Cloud-Infrastruktur, kopierte rund zwölf Gigabyte Daten und übernahm zeitweise den Verifizierungs-Bot. Discord selbst wurde nach Angaben des Betreibers nicht angegriffen.
Was passiert ist
Der Angriff traf nicht Discord selbst, sondern den Verifizierungsdienst Double Counter, den Server-Administratoren einsetzen, um Zweitkonten und gefälschte Accounts zu erkennen. Betrieben wird der Dienst von der französischen Firma Tellter SAS; nach eigenen Angaben ist er in mehr als 600.000 Communities im Einsatz und erreicht rund 3,7 Millionen Nutzer pro Monat [1].
Nach dem am 5. Oktober veröffentlichten Incident Report des Unternehmens verschaffte sich ein Angreifer am 4. Oktober Zugang zur Cloud-Infrastruktur und hielt sich dort fast sechs Stunden auf – von 12:03 bis 17:54 Uhr UTC [1]. In dieser Zeit kopierte er rund zwölf Gigabyte Daten aus einer Datenbank [1] [3]. Der Dienst wurde am selben Tag um 19:19 Uhr UTC mit neuen Zugangsdaten wiederhergestellt [1].
Welche Daten betroffen sind
Das Ausmaß ist erheblich. Nach Angaben von Double Counter könnten Discord-Nutzerkennungen und Benutzernamen von bis zu 28 Millionen Konten betroffen sein. Für rund 27 Millionen Konten wurden zudem IP-Adressen sowie grobe Standortdaten erbeutet – Land, Region, Stadt, Postleitzahl und Internetanbieter. Hinzu kommen Hashwerte von User-Agents für etwa 25 Millionen Konten und rund eine Million E-Mail-Adressen [1].
BillDa sich nach Unternehmensangaben nicht mehr zweifelsfrei feststellen lässt, welche Datensätze vollständig abflossen, behandelt Double Counter vorsorglich sämtliche möglicherweise betroffenen Informationen als kompromittiert [1] [2].
„The copy tool works through that database in a fixed order, so by comparing the ≈12 GB that left with the size of each table we can assess what was copied.“
Double Counter, Incident Report INC-2026-10-04 [1]
Für Nutzer gibt es zumindest eine Entwarnung: Discord-Passwörter sind nicht betroffen, da Double Counter solche Zugangsdaten nach eigenen Angaben grundsätzlich nicht speichert. Auch Zahlungskartendaten lagen nicht in der betroffenen Datenbank, weil diese bei einem externen Zahlungsanbieter verwaltet werden [1] [2]. Eine separate Datenbank mit Informationen zu rund 58 Millionen Nutzern sowie eine Verhaltensdatenbank waren laut Unternehmen nicht betroffen [1] [3].
Wie die Angreifer vorgingen
Der Einstiegspunkt war ein stillgelegter Server aus einer früheren Hosting-Umgebung beim Anbieter OVH, der nicht mehr zum operativen Betrieb gehörte. Darauf lief noch ein öffentlich erreichbares Analysewerkzeug (Metabase). Über eine Schwachstelle darin konnte der Angreifer eine Administrator-Sitzung fälschen und so auf den Host zugreifen [1] [3].
Auf dem Server fand er zwei Zugangsdaten für die Cloud: den Schlüssel eines Dienstkontos mit Administratorrechten und die gespeicherte Kommandozeilen-Sitzung eines Administrators. Mit diesen legitimen, bestehenden Zugängen bewegte er sich in der Infrastruktur, ohne ein neues Konto anzulegen – was seine Aktivität zunächst unauffällig machte [1].
Anschließend öffnete er eine Shell in einem laufenden Container des Bots und las dessen Discord-Token aus. Mit dem gestohlenen Token verschickte er im Namen von Double Counter Einladungslinks zu seinem eigenen Server in rund 50 großen Communities; der größte betroffene Server war „Steal a brainrot“. Zudem belastete er über einen gestohlenen Zahlungsschlüssel ein separates Konto mit insgesamt 7.316 US-Dollar, überwiegend über eine Firmenkarte mit schrittweise steigenden Beträgen von 1, 10, 100 und 1.000 Dollar. Zwei Kunden wurden mit zusammen 18 Dollar belastet und haben das Geld erstattet bekommen [1] [3].
Wie Double Counter reagiert
Das Unternehmen sperrte die Zugänge des Angreifers, entfernte dessen SSH-Schlüssel und fuhr den Alt-Server herunter. Die betroffene Datenbank wurde vom Internet getrennt, eine Cache-Datenbank in ein privates Netz verlagert und der überprivilegierte Dienst-Account deaktiviert. Sämtliche erreichbaren Geheimnisse – Bot-Token, Datenbank- und Cache-Passwörter, Signaturschlüssel, Zahlungsanbieter-Schlüssel und Webhook-Secrets – wurden ausgetauscht [1].
Eine Prüfung von 14 Cloud-Projekten ergab nach Unternehmensangaben keine zurückgelassene Hintertür. Der Dienst läuft seit dem Abend des 4. Oktober wieder, steht aber unter kontinuierlicher Beobachtung [1].
Rechtlich hat Double Counter die französische Datenschutzbehörde CNIL am 5. Oktober 2026 informiert (Referenz FR2610050000001). Das Unternehmen hat Anwälte eingeschaltet und verfolgt die Verantwortlichen nach eigenen Angaben in Frankreich und den USA; eine Strafanzeige sei in Vorbereitung [1].
Was Nutzer jetzt tun sollten
Server-Administratoren sollten alle Nachrichten löschen, die Double Counter am 4. Oktober zwischen 12:00 und 16:30 Uhr UTC verschickt hat und die zu einem anderen Server einladen, und das Audit-Log auf Aktionen des Bots in diesem Zeitfenster prüfen [1].
Normale Mitglieder müssen an ihrem Discord-Konto nach Angaben des Anbieters nichts ändern. Sie sollten jedoch keine Server betreten, die in unerwarteten Nachrichten von Double Counter beworben werden. Wer sich zwischen 13:39 und 14:49 Uhr UTC verifiziert hat, ohne die Rolle zu erhalten, sollte die Verifizierung erneut durchlaufen [1].
Kunden von Doogle, Werbetreibende und API-Nutzer sollten wegen der abgeflossenen E-Mail-Adressen mit Phishing-Versuchen rechnen. Double Counter betont, niemals per E-Mail oder Direktnachricht nach Passwörtern, Tokens oder Zahlungen zu fragen [1]. Unabhängig davon gilt die übliche Vorsicht: verdächtige Links nicht anklicken, Zwei-Faktor-Authentifizierung nutzen und bei Discord ein starkes, einzigartiges Passwort verwenden.
Einordnung und Ausblick
Der Fall illustriert ein bekanntes Muster: Nicht die große Plattform war das Ziel, sondern ein kleinerer Dienstleister im Umfeld ihres Ökosystems. Solche Drittanbieter – Verifizierungs-Bots, Support-Dienste, Analysewerkzeuge – halten oft große Mengen an Nutzerdaten, ohne über die Sicherheitsressourcen der Plattformbetreiber zu verfügen. Ein einzelner vergessener Server mit veralteter Software genügte, um Zugang zu Millionen Datensätzen zu erlangen.
Bemerkenswert ist auch die Diskrepanz in der Berichterstattung: Während mehrere Medien von bis zu 28 Millionen betroffenen Konten berichten [2] [4], nannte eine Fachpublikation in ihrer Überschrift zunächst 20 Millionen, im Text dann ebenfalls 28 Millionen [3]. Solche Abweichungen sind typisch für die frühe Phase eines Vorfalls, in der Betroffene und Behörden noch unterschiedliche Zahlen zugrunde legen.
Ob und in welchem Umfang die erbeuteten Daten tatsächlich im Darknet auftauchen, ist offen. Double Counter will die Untersuchungsergebnisse auf der Incident-Seite aktualisieren. Für betroffene Communities bleibt vorerst vor allem eines wichtig: erhöhte Wachsamkeit gegenüber unerwarteten Einladungen und Phishing-Nachrichten.