人気のコミュニケーションアプリ「Discord」は、ハッカーが第三者のカスタマーサポートエージェントのアカウントに不正アクセスし、約7万人分の政府発行身分証明書（ID）を含む機密データを盗み出したと発表しました。この事件は、オンラインサービスにおけるセキュリティの脆弱性を改めて浮き彫りにするものです。
何が起こったのか？事件の経緯と原因
Ars Technicaの報道によると、今回の情報流出はDiscordのシステム自体が直接ハッキングされたものではありません。原因は、Discordが顧客対応業務を委託している第三者企業のサポートエージェントのアカウントが侵害されたことにあります。
攻撃者はこのアカウントを乗っ取り、サポートチケット（問い合わせ履歴）にアクセスしました。これにより、ユーザーが年齢確認やアカウント所有権の証明のために提出した、以下のような極めて機密性の高い個人情報が盗まれた可能性があります。
- 運転免許証
- パスポート
- その他、政府が発行した身分証明書の画像
影響を受けたのは、過去にDiscordのカスタマーサポートに身分証明書を提出したことのあるユーザーです。
Discord社の公式な対応
この事態を受け、Discordは迅速に対応を進めています。
- 影響を受けたユーザーへの通知： 対象となる約7万人のユーザーに対し、電子メールでの通知を開始しています。
- 当局への報告： データ保護当局および法執行機関に本件を報告し、調査に協力しています。
- アクセス遮断： 不正アクセスの原因となった第三者企業のシステムへのアクセスを直ちに遮断し、被害の拡大を防いでいます。
Discordは、ユーザーのパスワードやクレジットカード情報全体が漏洩したわけではないと強調していますが、流出した情報が悪用されるリスクは依然として存在します。
ユーザーが今すぐ取るべき対策
今回の事件は、すべてのDiscordユーザーにとって他人事ではありません。被害に遭った可能性のある方はもちろん、そうでない方も、アカウントの安全を確保するために以下の対策を強く推奨します。
- 公式通知の確認とフィッシング詐欺への警戒： もしあなたが通知の対象者であれば、Discordから公式のメールが届きます。その一方で、この事件に便乗し、Discordを装った偽のメールやメッセージ（フィッシング詐欺）が増加する恐れがあります。安易にリンクをクリックしたり、個人情報を入力したりしないでください。
- 二要素認証（2FA）の設定： パスワードに加えて、スマートフォンアプリなどで生成される一時的なコードの入力を必須にするセキュリティ設定です。これにより、万が一パスワードが漏洩しても、第三者がアカウントにログインすることを極めて困難にします。まだ設定していない場合は、必ず有効化してください。
- 不審なDMやメールへの注意： 見知らぬユーザーからのダイレクトメッセージ（DM）や、少しでも怪しいと感じるメールに記載されたリンクは絶対に開かないようにしましょう。
オンラインサービス利用者の心構え
今回のDiscordの事例は、サービス提供者側のセキュリティ対策がいかに強固であっても、サプライチェーン（今回の場合は外部委託先）の脆弱性を突かれる危険性があることを示しています。
私たちユーザーは、オンラインサービスに個人情報を提供する際はそのリスクを認識し、自身でできる最大限の自衛策を講じることが不可欠です。アカウントのセキュリティ設定を定期的に見直し、常に警戒を怠らないようにしましょう。
