Pada 3 Oktober 2025, Discord melaporkan bahwa peretas telah mengompromikan salah satu penyedia layanan dan dukungan pelanggan pihak ketiga (5CA), dan diduga mencuri setidaknya 70.000 gambar(jendela baru) ID yang dikeluarkan pemerintah (seperti paspor atau SIM) yang digunakan untuk verifikasi usia.

Menurut Discord, informasi sensitif lainnya yang dicuri meliputi:

  • Nama, nama pengguna Discord, alamat email, dan rincian kontak lainnya yang diberikan pengguna untuk menerima dukungan.
  • Pesan atau transkrip percakapan dengan agen dukungan (misalnya, apa yang dikomunikasikan pengguna dengan tim dukungan).
  • Metadata penagihan dan pembayaran terbatas, termasuk metode pembayaran, riwayat pembelian, dan empat digit terakhir kartu kredit.
  • Alamat IP yang terkait dengan interaksi dukungan.
  • “Data korporat terbatas” seperti materi pelatihan atau presentasi internal yang tersimpan dalam sistem dukungan.

Pernyataan tersebut juga menyebutkan bahwa jenis informasi sensitif berikut ini tidak diakses:

  • Nomor kartu kredit lengkap dan kode keamanan (CCV)
  • Pesan atau aktivitas di Discord di luar apa yang mungkin telah dibahas pengguna dengan dukungan pelanggan
  • Kata sandi atau data autentikasi

Pembobolan tersebut tampakn(jendela baru)ya dimulai pada 20 September(jendela baru) setelah penyerang mengompromikan akun agen dukungan, dan mereka memiliki akses ke data pengguna Discord selama sekitar 58 jam. Discord menghubungi semua pengguna yang terdampak melalui email di noreply@discord.com.

Motivasi serangan tersebut tampaknya murni finansial, dengan tuntutan uang tebusan awal peretas sebesar $5 juta yang kemudian dikurangi menjadi $3,5 juta. Juru bicara Discord memberi tahu The Verge(jendela baru) bahwa Discord “tidak akan memberi imbalan kepada mereka yang bertanggung jawab atas tindakan ilegal tersebut.”

Namun, ada laporan yang bertentangan mengenai cakupan serangan dan siapa yang sebenarnya bersalah. Grup kejahatan siber yang mengeklaim kredit atas serangan tersebut, Scattered LAPSUS$ Hunters, mengatakan bahwa mereka mencuri 1,5 terabyte data dari 5,5 juta pengguna, termasuk lebih dari 2,1 juta foto ID pemerintah. Dan pada 14 Oktober, 5CA, layanan dukungan pelanggan pihak ketiga yang dituduh Discord bertanggung jawab atas pembobolan tersebut, (jendela baru)membantah bahw(jendela baru)a mereka menangani ID yang dikeluarkan pemerintah untuk Discord, atau bahwa sistem mereka diretas (sementara juga mengakui bahwa insiden tersebut berpotensi terjadi akibat kesalahan manusia).

Jadi, mengapa Discord mengumpulkan foto ID pemerintah?

Untuk mematuhi undang-undang verifikasi usia baru di Inggris(jendela baru) (dan undang-undang Australia yang akan datang), Discord telah bereksperimen dengan verifikasi usia(jendela baru) menggunakan pemindaian wajah atau ID yang dipindai (seperti paspor atau SIM).

Biasanya, Discord mewajibkan selfie pengguna(jendela baru) lalu menggunakan perangkat lunak untuk memindai foto tersebut dan memperkirakan usia mereka. Discord kemudian akan menghapus foto tersebut di akhir proses. Sistem yang diduga diretas adalah bagian dari proses bandingnya.

Jika pengguna merasa salah dicekal karena dianggap terlalu muda, mereka dapat mengirimkan foto ID yang dikeluarkan pemerintah untuk membantu membuktikan usia. Data inilah yang diduga dicuri. Dan mengingat Discord memiliki 200 juta pengguna aktif, jika sebagian kecil saja dari mereka harus melalui proses banding, jumlah tersebut berpotensi mencapai jutaan ID.

Kenyataan bahwa platform media sosial yang digunakan terutama oleh para gamer merasa perlu mengumpulkan informasi ini menunjukkan seberapa jauh perluasan fungsi dari undang-undang verifikasi usia, yang tujuan utamanya adalah melindungi anak-anak dari pornografi, telah menyebar.

Cara melindungi diri

Pembobolan ini merupakan pengingat lainnya bahwa sering kali dipaksa menyerahkan data sensitif dengan sedikit visibilitas tentang bagaimana data tersebut disimpan, diamankan, atau dibagikan. Meskipun data yang sudah bocor tidak dapat ditarik kembali, mencoba mengendalikan data apa saja yang dibagikan ke depannya dapat dilakukan. Berikut caranya:

  • Audit keberadaan data sensitif: Jika harus membagikan data sensitif (seperti ID), baca kebijakan privasi mereka. Jika tidak lagi menggunakan akun tersebut, periksa jika ada opsi untuk menghapus data.
  • Gunakan layanan yang tidak memerlukan data invasif: Hal ini memang semakin sulit, tetapi data yang tidak pernah dikumpulkan tidak akan bisa bocor. Jika membutuhkan suatu layanan, carilah layanan yang transparan(jendela baru) tentang data apa saja yang dikumpulkannya, untuk tujuan apa, dan berapa lama data tersebut akan disimpan.
  • Batasi pembagian data secara daring seminimal mungkin: Bahkan (atau, mengingat banyaknya serangan baru-baru ini yang berfokus pada portal dukungan, terutama) selama interaksi dukungan, jangan bagikan informasi apa pun yang tidak perlu. Gunakan VPN(jendela baru) dan alias email jika memungkinkan.

Apa arti hal ini bagi verifikasi usia

Kebutuhan untuk melindungi anak-anak dari banyaknya bahaya daring(jendela baru) sangatlah nyata, sehingga dapat dipahami jika pemerintah di seluruh dunia, mulai dari UE(jendela baru) hingga Australia(jendela baru) hingga Kanada(jendela baru), sangat ingin mengikuti undang-undang verifikasi usia yang baru saja diberlakukan di Inggris.

Apakah undang-undang tersebut merupakan solusi terbaik untuk masalah ini memang masih bisa diperdebatkan(jendela baru), tetapi yang pasti adalah pembobolan data telah menjadi kejadian sehari-hari sehingga berita utama tentang perusahaan terkenal lainnya yang membocorkan rincian pribadi jutaan orang hampir tidak diperhatikan lagi.

Dan tidak pernah ada alasan untuk menduga bahwa data verifikasi usia yang sangat sensitif akan kebal dari kebocoran semacam itu, sebuah poin yang secara dramatis dibuktikan oleh insiden ini.

Ini berarti meskipun pada prinsipnya undang-undang verifikasi usia disetujui, undang-undang tersebut tidak boleh diterapkan sebelum solusi standar terbuka, terdesentralisasi, dan benar-benar aman yang benar-benar menghormati privasi dikembangkan dan tersedia secara luas.