3 अक्टूबर, 2025 को Discord ने बताया कि हैकर्स ने इसके तीसरें-पार्टी ग्राहक सेवा और सहायता प्रोवाइडर्स में से एक (5CA) के साथ छेड़छाड़ कर दी थी, और दावा है कि उन्होंने उम्र सत्यापन के लिए इस्तेमाल होने वाली सरकारी पहचान दस्तावेज़ों (जैसे पासपोर्ट या ड्राइवर लाइसेंस) की कम से कम 70,000 तस्वीरें चुरा लीं(नई विंडो)।
Discord के मुताबिक चुराई गई दूसरी संवेदनशील जानकारी में ये शामिल है:
- नाम, Discord यूज़रनेम, ईमेल पते, और दूसरी संपर्क जानकारी, जो उपयोगकर्ताओं ने सहायता पाने के लिए दी थी।
- सहायता एजेंट्स के साथ संदेश या बातचीत की ट्रांसक्रिप्ट्स (जैसे उपयोगकर्ताओं ने सहायता टीम्स से क्या बात की)।
- सीमित बिलिंग और भुगतान मेटाडाटा, जिसमें भुगतान तरीका, खरीद का हिसाब, और क्रेडिट कार्ड के आखिरी चार अंक शामिल हैं।
- सहायता बातचीत से जुड़े IP पते।
- “सीमित कॉर्पोरेट डाटा”, जैसे सहायता सिस्टम में स्टोर किया गया ट्रेनिंग मटेरियल या इंटरनल प्रेजेंटेशन।
ये भी कहा गया है कि निम्नलिखित तरह की संवेदनशील जानकारी को एक्सेस नहीं किया गया:
- पूरे क्रेडिट कार्ड नंबर और सुरक्षा कोड (CCV)
- Discord पे संदेश या गतिविधि, जिसमें वो बातें शामिल नहीं हैं जो उपयोगकर्ताओं ने ग्राहक सहायता से की हों
- पासवर्ड या सत्यापन डाटा
हमलावरों ने एक सहायता एजेंट के खाते के साथ छेड़छाड़ करने के बाद लीक शायद(नई विंडो)20 सितंबर को शुरू हुआ(नई विंडो), और उन्हें लगभग 58 घंटे तक Discord उपयोगकर्ता डाटा का एक्सेस मिला रहा। Discord सभी प्रभावित उपयोगकर्ताओं से noreply@discord.com ईमेल पे संपर्क कर रहा है।
हमलों के पीछे पूरी तरह पैसों का मकसद लगता है; हैकर्स की शुरुआती $5 मिलियन की रैंसम मांग बाद में घटाकर $3.5 मिलियन कर दी गई। Discord के प्रवक्ता ने The Verge(नई विंडो) को बताया कि Discord “जो लोग अपने गैरकानूनी कामों के लिए ज़िम्मेदार हैं, उन्हें इनाम नहीं देगा।”
हालांकि, हमले के दायरे और असल में किसकी गलती है, इसको लेकर अलग-अलग रिपोर्ट्स हैं। हमले का क्रेडिट लेने वाला साइबरक्राइम ग्रुप, Scattered LAPSUS$ Hunters, का कहना है कि उसने 5.5 मिलियन उपयोगकर्ताओं का 1.5 टेराबाइट डाटा चुराया है, जिसमें सरकारी पहचान दस्तावेज़ों की 2.1 मिलियन से ज़्यादा तस्वीरें शामिल हैं। और 14 अक्टूबर को 5CA, वो तीसरें-पार्टी ग्राहक सहायता सर्विस जिस पर Discord ने लीक का ज़िम्मेदार होने का आरोप लगाया है, ने (नई विंडो)अस्वीकार किया(नई विंडो) कि उसने Discord के लिए सरकारी पहचान दस्तावेज़ हैंडल किए, या उसका सिस्टम हैक हुआ था (हालांकि ये भी माना कि ये घटना इंसानी एरर की वजह से हुई हो सकती है)।
तो Discord ने सरकारी पहचान दस्तावेज़ों की तस्वीरें क्यों इकट्ठा कीं?
UK के नए उम्र सत्यापन कानून(नई विंडो) (और ऑस्ट्रेलिया के आने वाले कानून) का पालन करने के लिए Discord फेस स्कैन या स्कैन किए गए आईडी (जैसे पासपोर्ट या ड्राइवर लाइसेंस) के ज़रिए उम्र सत्यापन का प्रयोग कर रहा है(नई विंडो)।
आमतौर पर, Discord उपयोगकर्ता की सेल्फी मांगता था(नई विंडो) और फिर सॉफ्टवेयर से तस्वीर को स्कैन करके उनकी उम्र का अंदाज़ा लगाता था। इसके बाद Discord प्रोसेस के आखिर में तस्वीर मिटा देता था। वो सिस्टम, जिसे शायद हैक किया गया था, उसकी अपील प्रोसेस का हिस्सा था।
अगर किसी उपयोगकर्ता को लगा कि उसे छोटी उम्र की वजह से गलत तरीके से बैन किया गया है, तो अपनी उम्र साबित करने में मदद के लिए अपने सरकारी पहचान दस्तावेज़ की तस्वीर भेजी जा सकती थी। यही डाटा शायद चुराया गया था। और Discord के 200 मिलियन एक्टिव उपयोगकर्ताओं को देखते हुए, अगर उनमें से छोटे से हिस्से को भी अपील प्रोसेस से गुज़रना पड़ा, तो ये करोड़ों आईडी हो सकती हैं।
ये बात कि गेमर्स के बीच प्रचलित एक सोशल मीडिया प्लैटफॉर्म को ये जानकारी इकट्ठा करने की ज़रूरत महसूस होती है, दिखाती है कि उम्र सत्यापन कानूनों का दायरा, जिनका बताया गया मकसद बच्चों को पोर्नोग्राफी से बचाना है, कितना आगे तक फैल चुका है।
खुद को कैसे सुरक्षित रखें
ये लीक एक बार फिर याद दिलाता है कि हमें अक्सर संवेदनशील डाटा सौंपने पर मजबूर होना पड़ता है, बिना ये जाने कि उसे कैसे स्टोर किया, सुरक्षित रखा, या शेयर किया जाता है। हालांकि लीक हो चुके डाटे को वापस नहीं ला सकते, लेकिन आगे कौन-सा डाटा शेयर करते हैं, ये कंट्रोल करने की कोशिश कर सकते हैं। ये कैसे:
- चेक करें कि आपका संवेदनशील डाटा कहां है: अगर आपको अपना संवेदनशील डाटा (जैसे आईडी) शेयर करना पड़ा था, तो उनकी निजता नीति पढ़ें। अगर आप उस खाते का इस्तेमाल नहीं करते, तो देखें कि आपका डाटा मिटाने का कोई ऑप्शन है या नहीं।
- ऐसी सर्विसेज़ इस्तेमाल करें जिन्हें घुसपैठ वाले डाटे की ज़रूरत नहीं: ये मुश्किल होता जा रहा है, लेकिन जो डाटा कभी इकट्ठा ही नहीं किया गया, वो लीक नहीं हो सकता। अगर आपको कोई सर्विस चाहिए, तो ऐसी ढूंढें जो पारदर्शी(नई विंडो) हों कि वो कौन-सा डाटा इकट्ठा करती हैं, किस मकसद से, और कितने समय के लिए स्टोर किया जाएगा।
- ऑनलाइन डाटा शेयरिंग कम से कम रखें: सहायता बातचीत के दौरान भी (या, देखते हुए कि हाल के कई हमले सहायता पोर्टल्स पे केंद्रित रहे हैं, खासकर) कोई गैरज़रूरी जानकारी शेयर न करें। जहां तक हो सके, VPN(नई विंडो) और ईमेल नकली-नाम इस्तेमाल करें।
उम्र सत्यापन के लिए इसका क्या मतलब है
बच्चों को कई ऑनलाइन नुकसानों(नई विंडो) से बचाने की ज़रूरत असल में है, तो ये समझ में आता है कि दुनिया भर की सरकारें, EU(नई विंडो) से ऑस्ट्रेलिया(नई विंडो) और कनाडा(नई विंडो) तक, UK के लागू किए गए नए उम्र सत्यापन कानून को अपनाने के लिए बेताब हैं।
क्या ऐसे कानून इस समस्या का सबसे अच्छा हल हैं, ये बहस का विषय है(नई विंडो), लेकिन इतना तय है कि डाटा लीक रोज़ की बात बन चुके हैं, और हमें किसी और बड़ी कंपनी के लाखों लोगों की पर्सनल जानकारी लीक करने की सुर्खियों पर ध्यान ही नहीं जाता।
और ये मानने की कोई वजह कभी नहीं रही कि इतनी संवेदनशील उम्र सत्यापन डाटा ऐसे लीक से बचा रहेगा, जो बात इस घटना ने साफ तौर पे साबित कर दी।
इसका मतलब है कि अगर आप सिद्धांत रूप में उम्र सत्यापन कानूनों से सहमत हैं, तो भी उन्हें तब तक लागू नहीं किया जाना चाहिए जब तक ऐसे समाधान विकसित न हो जाएं और बड़े पैमाने पे उपलब्ध न हो जाएं, जो असल में आपकी निजता का सम्मान करते हैं और सुरक्षित, डिसेंट्रलाइज़्ड, ओपन स्टैंडर्ड पर आधारित हों।
