Bot bảo mật Discord Double Counter bị tấn công, lộ dữ liệu hàng triệu người dùng

• Sự cố nghiêm trọng: Bot bảo mật Double Counter bị tấn công hạ tầng, dẫn đến rò rỉ dữ liệu của khoảng 28 triệu tài khoản Discord.
• Vector tấn công: Kẻ tấn công khai thác lỗ hổng trên một máy chủ Metabase cũ, từ đó leo thang đặc quyền và chiếm quyền điều khiển hạ tầng đám mây.
• Hậu quả: Dữ liệu bao gồm ID Discord, tên người dùng, địa chỉ IP, user-agent hashes và email đã bị đánh cắp; đồng thời kẻ tấn công thực hiện gian lận tài chính qua Stripe.
• Phản ứng: Đơn vị vận hành Tellter SAS đã thu hồi quyền truy cập, cô lập máy chủ bị ảnh hưởng và thông báo cho cơ quan chức năng Pháp (CNIL).

Theo báo cáo từ các nhà nghiên cứu bảo mật, bot bảo mật phổ biến trên Discord là Double Counter đã trở thành mục tiêu của một cuộc tấn công hạ tầng có chủ đích. Sự cố này đã làm lộ lọt thông tin cá nhân của hàng triệu người dùng, gây ra những lo ngại lớn về an ninh mạng trong cộng đồng Discord.

Phân tích chuỗi tấn công và kỹ thuật khai thác

Cuộc tấn công bắt đầu từ một máy chủ OVH đã ngừng sử dụng nhưng vẫn tồn tại trong hạ tầng của Double Counter. Mặc dù máy chủ này đã bị ngắt kết nối khỏi mạng vận hành chính, nó vẫn duy trì một phiên bản Metabase analytics có thể truy cập từ internet. Kẻ tấn công đã lợi dụng lỗ hổng bảo mật trong Metabase để giả mạo phiên làm việc của quản trị viên, từ đó chiếm quyền truy cập vào máy chủ bên dưới.

Sau khi thiết lập được chỗ đứng ban đầu, kẻ tấn công đã thực hiện các bước leo thang đặc quyền và di chuyển ngang (lateral movement) trong môi trường đám mây:

• Chiếm đoạt thông tin xác thực: Kẻ tấn công tìm thấy khóa tài khoản dịch vụ (service account key) với đặc quyền quản trị đám mây và phiên làm việc CLI đã lưu của quản trị viên.
• Duy trì truy cập: Kẻ tấn công thêm khóa SSH mới vào hệ thống để đảm bảo khả năng truy cập bền vững.
• Trích xuất dữ liệu: Dữ liệu cơ sở dữ liệu được xuất ra một storage bucket mới tạo.
• Chiếm quyền điều khiển bot: Vào lúc 12:26 UTC, kẻ tấn công truy cập vào shell của container chạy bot, trích xuất Discord token và thực hiện các hành vi phá hoại như đảo ngược lệnh cấm (ban) và phát tán lời mời tham gia máy chủ Discord của chúng.

Bảng tổng hợp dữ liệu bị ảnh hưởng

Khuyến nghị phòng thủ và khắc phục sự cố

Để đối phó với các mối đe dọa tương tự, các tổ chức cần thực hiện nghiêm ngặt quy trình quản lý hạ tầng và kiểm soát truy cập. Việc để sót các máy chủ cũ (legacy servers) hoặc các dịch vụ không được vá lỗi (như Metabase) là một rủi ro bảo mật nghiêm trọng.

⚠️ Cảnh báo quan trọng: Quản trị viên hệ thống cần ngay lập tức kiểm tra nhật ký kiểm toán (audit logs) và xóa bỏ các lời mời bot đáng ngờ được phát tán trong khoảng thời gian từ 12:00 đến 16:30 UTC ngày 4 tháng 10. Người dùng cuối nên cảnh giác cao độ với các chiến dịch lừa đảo (phishing) nhắm vào địa chỉ email đã bị lộ.

Các biện pháp hardening hệ thống cần được ưu tiên bao gồm:

• Loại bỏ tài sản cũ: Định kỳ rà soát và gỡ bỏ hoàn toàn các máy chủ, dịch vụ không còn sử dụng khỏi hạ tầng mạng.
• Quản lý bí mật (Secret Management): Không lưu trữ khóa API, token hoặc phiên làm việc CLI trên các máy chủ có khả năng bị truy cập từ internet.
• Giám sát truy cập: Triển khai ghi nhật ký truy cập bí mật (secret-access logging) và thiết lập cảnh báo thời gian thực cho các hành vi bất thường trong môi trường đám mây.
• Phân đoạn mạng: Đảm bảo các dịch vụ phân tích hoặc quản trị không được phơi bày trực tiếp ra internet công cộng mà không có lớp xác thực đa yếu tố (MFA).

Sự cố này là một lời nhắc nhở đắt giá về tầm quan trọng của việc duy trì vệ sinh an ninh mạng (cyber hygiene) đối với các hạ tầng bot và dịch vụ bên thứ ba trên nền tảng Discord. Việc tuân thủ các tiêu chuẩn bảo mật như Zero Trust sẽ giúp giảm thiểu đáng kể rủi ro từ các cuộc tấn công leo thang đặc quyền.