2025 年十月 3 日，Discord 报告称，黑客已泄露其一家第三方客户服务和支持提供商 (5CA)，并且据称窃取了至少 70,000 张（新窗口）用于年龄验证的政府签发身份证件（如护照或驾照）的图片。
据 Discord 称，其他被窃取的敏感信息包括：
- 用户为获得支持而提供的姓名、Discord 用户名、电子邮件地址和其他联系人详情。
- 与支持人员的消息或会话记录（例如，用户与支持团队的沟通内容）。
- 有限的账单和付款元数据， 包括付款方式、购买历史和信用卡的后四位数字。
- 与支持互动相关联的 IP 地址。
- 存储在支持系统中的“有限企业数据”，例如培训材料或内部演示文稿。
它还表示，以下类型的敏感信息未被访问：
- 完整的信用卡号码和安全码 (CCV)
- Discord 上除用户与客户支持的讨论之外的消息或活动
- 密码或身份验证数据
在攻击者已泄露一名支持人员的帐户之后，这次违反事件显然（新窗口）始于 9 月 20 日（新窗口），攻击者访问 Discord 用户数据的时间持续了约 58 小时。Discord 正在通过电子邮件 noreply@discord.com 联系所有受影响的用户。
这次攻击的动机似乎完全是出于经济目的，黑客最初索要 500 万美元的赎金，后来降至 350 万美元。Discord 的发言人告诉 The Verge（新窗口），Discord “不会奖励那些实施非法行为的人”。
然而，关于这次攻击的范围以及谁才是真正的责任方，各方报道说法不一。宣称对这次攻击负责的网络犯罪群组 Scattered LAPSUS$ Hunters 称，其从 550 万用户处窃取了 1.5 TB 数据，其中包括超过 210 万张政府身份证件照片。10 月 14 日，被 Discord 指称应对这次违反负责的第三方客户支持服务 5CA （新窗口）否认（新窗口）其曾为 Discord 处理政府签发的身份证件，也否认其系统遭到黑客攻击（同时还承认该事件可能源于人为错误）。
那么，Discord 为什么要收集政府身份证件的照片？
为遵守英国新的年龄验证法（新窗口）（以及澳大利亚即将出台的法律），Discord 一直在试验年龄验证（新窗口），使用面部扫描或扫描的身份证件（如护照或驾照）。
通常情况下，Discord 会要求用户提供自拍照（新窗口），然后使用软件扫描照片并估算其年龄。在此过程结束时，Discord 会删除该照片。据称遭黑客攻击的系统是其申诉流程的一部分。
如果用户认为自己因年龄太小而被错误封禁，可以发送政府签发身份证件的照片来帮助证明自己的年龄。据称被窃取的正是这些数据。鉴于 Discord 拥有 2 亿活跃用户，即便只有一小部分用户需要经历申诉流程，涉及的身份证件也可能多达数百万张。
一个主要由游戏玩家使用的社交媒体平台竟然觉得有必要收集这些信息，这表明以保护儿童免受色情内容侵害为宣称目的的年龄验证法，其职能蔓延已经波及多远。
如何保护自己
这次违反事件再次提醒我们：我们常常被迫交出敏感数据，却几乎无从知晓这些数据是如何存储、保护和分享的。虽然已泄露的数据无法追回，但您可以尝试控制今后分享哪些数据。方法如下：
- 审计您的敏感数据位于何处：如果您曾必须分享敏感数据（如身份证件），请阅读其隐私政策。如果您不再使用该帐户，请查看是否有删除数据的选项。
- 使用不需要侵入性数据的服务：这正变得越来越难，但从未被收集的数据不可能被泄露。如果您需要某项服务，请寻找对其收集哪些数据、用于何种目的以及存储多长时间保持透明（新窗口）的服务。
- 在线分享数据尽量降到最低：即使（或者，鉴于最近许多攻击都集中在支持门户，尤其是）在支持互动期间，也不要分享任何不必要的信息。尽可能使用 VPN（新窗口） 和电子邮件别名。
这对年龄验证意味着什么
保护儿童免受众多在线危害（新窗口）的需求是真实存在的，因此从欧盟（新窗口）到澳大利亚（新窗口）再到加拿大（新窗口），世界各国的政府都热衷于效仿英国新近生效的年龄验证法，这是可以理解的。
这类法律是否是解决该问题的最佳方案仍值得商榷（新窗口），但可以肯定的是，数据违反事件已成为家常便饭，以至于我们几乎不会注意到又一家知名公司泄露数百万人的个人详细信息这样的新闻标题。
而且从来没有任何理由认为格外敏感的年龄验证数据能免受此类泄露，这次事件戏剧性地证明了这一点。
这意味着，即使您原则上赞成年龄验证法，也应等到真正安全、去中心化且切实尊重用户隐私的开放标准解决方案被开发出来并广泛可用之后，再予以实施。
