ข้อมูลการละเมิดของ Double Counter ถูกเผยแพร่ต่อสาธารณะหลังการโจมตีที่มุ่งเป้า

Have I Been Pwned เพิ่มการละเมิดของ Double Counter ไปยังฐานข้อมูลของมัน เมื่อ 7 ตุลาคม 2026 หลังจากข้อมูลจำนวนหนึ่งที่ถูกขโมยจากบริการป้องกันเซิร์ฟเวอร์ Discord ถูกเผยแพร่ต่อสาธารณะ คลังข้อมูลที่เผยแพร่มีที่อยู่อีเมลที่ไม่ซ้ำกัน 275,000 รายการและชื่อผู้ใช้ Discord ตามที่รายการระบุ ซึ่งบันทึกที่อยู่ที่ได้รับผลกระทบทั้งหมด 274,900 รายการ

บริการแจ้งการละเมิดระบุว่าการละเมิดเกิดขึ้นในเดือนตุลาคม 2026 และสาเหตุมาจากช่องโหว่ในเครื่องมือวิเคราะห์ Metabase จำนวนบันทึกเล็กน้อยที่เป็นของสมาชิกที่ชำระเงินซึ่งการซื้อของพวกเขาถูกประมวลผลผ่าน Stripe ก็ปรากฏอยู่ในข้อมูลที่เผยแพร่ รวมถึงชื่อ, ประเทศและรหัสไปรษณีย์ ประเภทข้อมูลที่ถูกละเมิดที่ระบุ ได้แก่ ที่อยู่อีเมล, ตำแหน่งทางภูมิศาสตร์, ชื่อและชื่อผู้ใช้

Double Counter ซึ่งดำเนินการโดย Tellter SAS เปิดเผยการบุกรุกที่เป็นสาเหตุใน รายงานเหตุการณ์ที่เผยแพร่เมื่อ 5 ตุลาคม 2026 บริษัทอธิบายว่าการโจมตีที่ตั้งใจและหลายขั้นตอนเกิดขึ้นเมื่อ 4 ตุลาคม 2026 ซึ่งผู้โจมตีใช้เวลา 5 ชั่วโมง 51 นาทีในโครงสร้างคลาวด์ของบริษัท คัดลอกตารางฐานข้อมูลประมาณ 12 GB ควบคุมโทเค็น Discord ของบอท และใช้คีย์การชำระเงินที่ถูกขโมยเพื่อกระทำการฉ้อโกงทางการเงินบนบัญชีแยกต่างหาก

วิธีการที่การโจมตีเกิดขึ้น

ตามรายงาน จุดเข้าถึงคือเซิร์ฟเวอร์ที่ถูกถอดออกจากการใช้งานจากการตั้งค่าโฮสติ้ง OVH ก่อนหน้าของ Double Counter ซึ่งยังคงเปิดให้สาธารณะโดยรันเครื่องมือวิเคราะห์ Metabase ที่โฮสต์เอง ผู้โจมตีสำรวจเซิร์ฟเวอร์จากที่อยู่ VPN ที่หมุนเปลี่ยนเริ่มตั้งแต่ 04:37 UTC ของวันที่ 3 ตุลาคม 2026 แล้วเข้าสู่ระบบเวลา 00:47 ของวันที่ 4 ตุลาคม หลังจากช่องโหว่ของเครื่องมือทำให้พวกเขาสร้างเซสชันผู้ดูแลได้ เซิร์ฟเวอร์มีข้อมูลรับรองคลาวด์สองชุด: คีย์บัญชีบริการที่มีสิทธิ์ผู้ดูแลและเซสชันบรรทัดคำสั่งของผู้ดูแลที่บันทึกไว้ ผู้โจมตีไม่ได้สร้างบัญชีใหม่ ใช้ข้อมูลรับรองสองชุดที่มีอยู่แทน ซึ่งบริษัทระบุว่าเป็นสาเหตุหนึ่งที่กิจกรรมผสมผสานกับปกติในช่วงแรก

ภายในคลาวด์ตั้งแต่ 12:03 ของวันที่ 4 ตุลาคม ผู้โจมตีเพิ่มคีย์ SSH ที่ 12:08 และส่งออกฐานข้อมูลไปยังบัคเก็ตจัดเก็บข้อมูลที่สร้างขึ้นเองระหว่าง 12:19 ถึง 12:35 การส่งออกนี้บริษัทระบุว่าไม่เคยถูกดาวน์โหลด ที่เวลา 12:26 ผู้โจมตีเปิดเชลล์ภายในคอนเทนเนอร์บอทที่กำลังทำงานและอ่านโทเค็นของบอท เมื่อ Double Counter ติดตั้งโทเค็นใหม่ ผู้โจมตีอ่านได้ภายในสองนาที ลบข้อมูลสำรองและเปลี่ยนรหัสผ่านผู้ดูแลฐานข้อมูลเวลา 15:09 แล้วคัดลอกตารางฐานข้อมูลรวมประมาณ 12 GB ก่อนที่เซสชันจะถูกค้นพบและยุติประมาณ 15:34

หลังจากคีย์บัญชีบริการถูกเพิกถอน ผู้โจมตีกลับไปใช้เซสชันของผู้ดูแลตั้งแต่ 15:54 จนทุกเซสชันของบัญชีนั้นถูกเพิกถอนประมาณ 17:55 การกระทำสุดท้ายที่บันทึกของผู้โจมตีเกิดขึ้นที่ 17:54 Double Counter เรียกคืนบริการเวลา 19:19 ด้วยข้อมูลรับรองใหม่และรายงานว่าเหตุการณ์ถูกควบคุมแล้ว โดยระบุว่าการตรวจสอบ 14 โครงการคลาวด์ไม่พบแบ็คดอร์ที่เหลืออยู่

ข้อมูลส่วนบุคคลที่ถูกคัดลอก

บริษัทระบุว่า ID ผู้ใช้และชื่อผู้ใช้ Discord ของประมาณ 28 ล้านบัญชีถูกคัดลอกบางส่วนและถือว่าเป็นการเปิดเผย ที่อยู่ IP และข้อมูลตำแหน่งเชิงภูมิศาสตร์แบบหยาบ (ประเทศ, ภูมิภาค, เมือง, รหัสไปรษณีย์และผู้ให้บริการอินเทอร์เน็ต) ของประมาณ 27 ล้านบัญชีก็ได้รับการจัดการในลักษณะเดียวกัน ตารางการตรวจจับทางเลือกที่มีประมาณ 5.4 ล้านบันทึกถูกคัดลอกทั้งหมด และ Double Counter ประมาณว่าประมาณ 20% ของตารางผู้ใช้ที่ตรวจสอบแล้วจำนวน 21.7 ล้านบันทึกถูกคัดลอกก่อนที่เซสชันจะสิ้นสุด แฮช user-agent แบบทางเดียวที่ใช้สำหรับการตรวจจับทางเลือกถูกคัดลอกสำหรับประมาณ 25 ล้านบัญชี

มีการคัดลอกที่อยู่อีเมลที่ทำการลบซ้ำประมาณ 1.0 ล้านรายการ ซึ่งประกอบด้วยประมาณ 840,000 บัญชี Doogle และประมาณ 240,000 รายการติดต่อของแดชบอร์ด Double Counter, ผู้จัดการเซิร์ฟเวอร์, ลูกค้าและผู้โฆษณา บริษัทระบุว่าฐานข้อมูลเก็บข้อมูลเย็นแยกต่างหากที่ครอบคลุมประมาณ 58 ล้านผู้ใช้, ฐานข้อมูลพฤติกรรม, รหัสผ่าน Discord (ซึ่ง Double Counter ไม่เคยรับ) และรายละเอียดบัตรเครดิตที่จัดเก็บโดยผู้ให้บริการชำระเงินของบริษัทไม่ได้รับผลกระทบ

การฉ้อโกงการชำระเงินและผลกระทบต่อเซิร์ฟเวอร์ Discord

ในบันทึกลับที่ผู้โจมตีสามารถอ่านได้มีคีย์ Stripe ของ Atis ซึ่งเป็นผลิตภัณฑ์แยกของ Tellter ระหว่าง 17:11 ถึง 17:12 ของวันที่ 4 ตุลาคม ผู้โจมตีทำการทดสอบการเรียกเก็บเงินเพิ่มขึ้นเป็นจำนวน $1, $10, $100 และ $1,000 กับบัตรของบริษัท รวมเป็น $7,316 พร้อมกับการเรียกเก็บ $3 และ $15 ให้กับลูกค้าสองราย; ทั้งสองรายการได้รับการคืนเงินเต็มจำนวน และคีย์ของผู้ให้บริการชำระเงินทั้งหมดถูกเพิกถอนเวลา 17:14 บัญชีที่ประมวลผลการสมัครสมาชิกของ Double Counter และ Doogle ไม่แสดงการเรียกเก็บที่ไม่ได้รับอนุญาตตามที่บริษัทระบุ

ตั้งแต่ 13:30 โทเค็นบอทที่ถูกขโมยถูกใช้เพื่อโพสต์ลิงก์ไปยังเซิร์ฟเวอร์ Discord ของผู้โจมตีในประมาณ 50 เซิร์ฟเวอร์ขนาดใหญ่ที่ใช้ Double Counter ตามรายงานที่บริษัทได้รับ ข้อความเหล่านั้นปรากฏว่าเป็นการส่งจาก Double Counter เซิร์ฟเวอร์ที่ใหญ่ที่สุดที่ถูกโจมตีคือ “Steal a brainrot” และข้อความส่วนใหญ่ถูกลบไปแล้ว ในเซิร์ฟเวอร์สนับสนุนของ Double Counter บัญชีของผู้โจมตีได้รับสิทธิ์ผู้ดูแลและประมาณสิบห้าบทบาทและถูกปลดแบนหนึ่งครั้ง โดยมีคำเชิญที่โพสต์ต่อมาผ่านเว็บฮุคสองตัว; เว็บฮุคที่เปิดเผยทั้งหมดสิบตัวถูกลบ

Double Counter กล่าวว่าได้ปิดฐานข้อมูลที่ได้รับผลกระทบจากอินเทอร์เน็ต ย้ายฐานข้อมูลแคชไปยังเครือข่ายส่วนตัว ปิดการใช้งานบัญชีบริการที่มีสิทธิ์เกินจำเป็น และเปลี่ยนโทเค็นบอท รหัสผ่านฐานข้อมูลและแคช คีย์การเซ็นเซสชัน คีย์ผู้ให้บริการการชำระเงิน ความลับของเว็บฮุค ความลับของแอปพลิเคชัน Discord และคีย์ผู้ให้บริการ AI ตอนนี้โทเค็นบอทและเว็บฮุคของ Discord ถูกเก็บไว้ในที่เก็บความลับเฉพาะ

ผู้ดูแลเซิร์ฟเวอร์ได้รับคำแนะนำให้ลบข้อความของ Double Counter ใด ๆ ที่ส่งในวันที่ 4 ตุลาคมระหว่างเวลา 12:00‑16:30 UTC ซึ่งเชิญผู้ใช้ไปยังเซิร์ฟเวอร์อื่น และให้ตรวจสอบบันทึกการตรวจสอบของตน สมาชิกได้รับแจ้งว่าไม่จำเป็นต้องเปลี่ยนแปลงบัญชี Discord ของตน และให้ทำการยืนยันใหม่หากได้ทำการยืนยันระหว่างเวลา 13:39‑14:49 UTC แต่ไม่ได้รับบทบาท ผู้ใช้ Doogle ผู้โฆษณาและลูกค้า API ได้รับคำเตือนว่าที่อยู่อีเมลของพวกเขาถูกเปิดเผยและควรระวังการพยายามฟิชชิง; ลูกค้า Atis ได้รับแจ้งว่าไม่ต้องดำเนินการใด ๆ

Double Counter ได้แจ้งต่อหน่วยงานคุ้มครองข้อมูลส่วนบุคคลของฝรั่งเศส (CNIL) เมื่อวันที่ 5 ตุลาคม 2026 บริษัทระบุว่าได้ว่าจ้างที่ปรึกษากฎหมายและกำลังยื่นเรื่องร้องทุกข์อาชญากรรมในฝรั่งเศสและสหรัฐอเมริกา Tellter SAS กล่าวว่า จะอัปเดตหน้าข้อมูลเหตุการณ์เมื่อการสอบสวนเสร็จสิ้น