Double Counter: 28 milioni di account Discord esposti da un server dimenticato

Il 4 ottobre 2026 un server legacy nella precedente infrastruttura OVH di Tellter, operatore del bot anti-alt account Double Counter, è stato compromesso. L'attaccante ha estratto un token API dal container attivo, pubblicato messaggi in circa 50 comunità Discord di grandi dimensioni ed esfiltrato quasi 12 GB di dati legati a circa 28 milioni di account. Tra i dati copiati: indirizzi IP, geolocalizzazioni coarse e quasi un milione di email.

La sequenza: da analytics tool obsoleto al token Discord rubato in sei ore

Secondo il report incidenti pubblicato da Double Counter e riportato da Tech Insider e Instant Gaming News, l'attaccante ha compromesso un server "abbandonato" appartenente alla precedente configurazione hosting OVH di Tellter. Sul server era ancora in esecuzione un tool di analytics business intelligence, in una versione con vulnerabilità nota esposta pubblicamente. Cybernews riferisce che l'exploitation ha aperto una shell all'interno di un container del bot in esecuzione, da cui è stato estratto il token Discord.

La finestra di attività è stata compatta: circa sei ore, dalle 12:00 alle 16:30 UTC. In questo lasso di tempo, l'aggressore ha ottenuto il token, lo ha utilizzato per pubblicare inviti a un proprio server in circa 50 comunità Discord di grandi dimensioni, ha copiato parte di un database relazionale e ha sottratto una chiave di pagamento per transazioni fraudolente. Double Counter ha revocato le chiavi payment-provider alle 17:14 UTC e ripristinato il servizio alle 19:19 UTC dello stesso giorno.

Il volume totale dei dati copiati è di quasi 12 GB. Le fonti convergono su tre dataset parzialmente sovrapposti: identificatori Discord e username per circa 28 milioni di account; indirizzi IP e geolocalizzazione coarse per circa 27 milioni; hash degli user-agent per circa 25 milioni. Gli indirizzi email completi copiati sono circa un milione, di cui circa 840.000 legati al servizio "Doogle" e circa 240.000 a dashboard e contatti amministrativi. Circa 275.000 coppie email-username sono state pubblicate dall'attaccante: Have I Been Pwned ne registra 274.900.

"The attacker broke into a server from our previous hosting setup through a vulnerability in an analytics tool it was still running, then used credentials found on that server to reach our cloud infrastructure and adapted to each of our containment steps"

— Double Counter/Tellter, report incidente, riportato da Tech Insider e Instant Gaming News

La frode da $7.316 e la risposta sui tempi di contenimento

L'impatto non si è limitato all'esfiltrazione. L'attaccante ha utilizzato la chiave di pagamento sottratta per una sequenza di addebiti scalari: 1, 10, 100 e 1.000 dollari, con un totale di $7.316 su carta aziendale. Due clienti hanno subito carichi per $18 complessivi, anch'essi rimborsati. Double Counter specifica che non sono stati esposti numeri di carta di credito memorizzati: la frode è avvenuta tramite abuso di account e chiave API, non attraverso accesso a un database di pagamenti.

La capacità di risposta di Tellter è documentata con precisione nei timestamp: revoca payment alle 17:14, ripristino servizio alle 19:19. Secondo Dexerto, il token Discord era stato ruotato ma risultato nuovamente compromesso poco dopo; altre fonti non confermano questo dettaglio specifico sui tempi, e il brief lo classifica come conflitto non risolto tra fonti. I messaggi inviati con il token compromesso, secondo quanto riferito da Double Counter staff a Cybernews, sono transitati direttamente su Discord senza passare per i sistemi Double Counter: il team ha identificato i server colpiti dalle segnalazioni ricevute e dalla cronologia messaggi del bot.

Cosa fare adesso

Gli utenti Discord che hanno autorizzato Double Counter in passato possono verificare se la propria email è tra quelle pubblicate tramite Have I Been Pwned. Gli amministratori dei server che avevano installato il bot devono controllare i log di moderazione del 4 ottobre 2026 per identificare eventuali messaggi spam inviati dal bot compromesso. La notifica alla CNIL francese, inviata il 5 ottobre 2026, indica che le autorità di protezione dati stanno esaminando le pratiche di Tellter.

Il profilo di rischio: cosa esporre questi dati

I dati esfiltrati costituiscono un profilo composito: identificatori Discord, indirizzi IP con geolocalizzazione coarse, hash user-agent e, per una minoranza, email in chiaro. Questo profilo potrebbe essere utilizzato per campagne di phishing mirato, correlazione cross-piattaforma e ricostruzione di reti sociali, sebbene le fonti disponibili non documentino utilizzi concreti al momento della pubblicazione.

Discord ha disabilitato le nuove installazioni del bot il 4 ottobre 2026. In una dichiarazione riportata da Dexerto, un portavoce Discord ha precisato: "We're aware of a security incident involving Double Counter, a third-party app available on Discord. While this was not a breach of Discord, we've disabled new installs of the app while we work with Double Counter to understand the full scope of the incident, and we'll take further action as appropriate". La distinzione tecnica è corretta: la violazione ha colpito l'infrastruttura di Tellter, non i sistemi Discord.

Password Discord non erano detenute da Double Counter e non sono state esposte. Un database cold-storage con circa 58 milioni di utenti non è stato accesso; il database comportamentale non è stato toccato.

La chiusura di Double Counter come punto di non ritorno

La disabilitazione delle nuove installazioni da parte di Discord rappresenta il punto di non ritorno per Double Counter. Il bot, che richiede permessi amministrativi estesi su centinaia di migliaia di server, ha perso la capacità di acquisire utenti. La notifica CNIL del 5 ottobre 2026 avvia un esame regolatorio delle pratiche di Tellter. L'identità dell'attaccante non è confermata; indagini sono in corso in Francia e USA.

Il caso documenta come un server legacy non smantellato dopo migrazione cloud possa funzionare da ponte verso l'infrastruttura operativa. Le informazioni in questo articolo sono basate sulle fonti editoriali disponibili; non è applicabile verifica multi-source su dettagli tecnici, dato l'assenza di fonti primarie strutturate con dati di vulnerability.

Fonti: Tech Insider, Cybernews, Insider Gaming, GamesIndustry.biz, Instant Gaming News, Dexerto, Have I Been Pwned, Discord Safety

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://tech-insider.org/double-counter-discord-bot-breach-28-million-accounts-2026/
• https://cybernews.com/security/discord-user-data-breach/
• https://insider-gaming.com/discord-protection-bot-breach-exposes-accounts/
• https://cypro.co.uk/insights/cyber-bulletins/double-counter-breach-exposes-28-million-accounts/
• https://shattered.io/double-counter-discord-breach-1-million-emails-2026/
• https://www.gamesindustry.biz/discord-protection-bot-double-counter-hit-by-breach-exposing-around-1-million-email-addresses
• https://news.instant-gaming.com/en/articles/22326-28-million-discord-accounts-have-been-affected-by-a-data-breach
• https://www.dexerto.com/gaming/discord-bot-built-to-stop-alt-accounts-leaks-millions-of-users-ip-addresses-3416371/
• https://haveibeenpwned.com/
• https://discord.com/safety