Discord menonaktifkan instalasi baru bot keamanan Double Counter setelah layanan tersebut diretas dan diduga mengalami kebocoran data dalam jumlah besar. Insiden ini diperkirakan berdampak pada sekitar 28 juta akun Discord, dengan data yang mencakup username, alamat IP, hingga perkiraan lokasi pengguna.
Peretasan tersebut terungkap setelah pelaku mengambil sekitar 12 GB data dari salah satu database Double Counter hanya dalam waktu 25 menit. Discord menegaskan bahwa insiden ini berasal dari aplikasi pihak ketiga, bukan kebocoran langsung pada sistem Discord.
Hacker Bobol Database Double Counter
Berdasarkan laporan insiden yang diterbitkan pemilik Double Counter, Tellter, pada 5 Oktober 2026, pelaku berhasil mengakses salah satu database layanan tersebut dan menyalin sejumlah data pengguna.
Informasi yang terdampak dikaitkan dengan sekitar 28 juta akun Discord. Data tersebut mencakup username, alamat IP, serta perkiraan lokasi pengguna berdasarkan kota dan penyedia layanan internet mereka.
Selain itu, sekitar satu juta alamat email dilaporkan telah disalin secara lengkap oleh pelaku.
Tim Double Counter mengaku berhasil menghentikan akses hacker sebelum seluruh data alamat IP berhasil diambil. Namun, karena mereka tidak dapat memastikan data mana saja yang telah dicuri, Tellter memilih memperlakukan seluruh data terkait sebagai informasi yang berpotensi terekspos.
Celah Keamanan Berasal dari Server Lama
Menurut laporan Tellter, pelaku masuk melalui sebuah server lama yang sudah tidak digunakan perusahaan, tetapi ternyata masih aktif.
Server tersebut menjalankan perangkat lunak dengan celah keamanan yang telah diketahui sebelumnya. Lebih parah lagi, mesin yang terlupakan itu masih menyimpan akses menuju sistem produksi Double Counter.
Dari sana, hacker berhasil memperoleh kata sandi yang digunakan bot untuk masuk ke Discord. Bahkan setelah staf mengganti kata sandi tersebut, pelaku dilaporkan berhasil mendapatkan kata sandi baru hanya dalam waktu dua menit.
Insiden ini menunjukkan bagaimana sistem lama yang tidak lagi digunakan tetap dapat menjadi pintu masuk bagi serangan jika tidak dinonaktifkan atau diamankan dengan benar.
Pelaku Juga Mengambil Uang dari Sistem Pembayaran
Dampak peretasan ternyata tidak hanya terbatas pada data pengguna Discord.
Pelaku juga menemukan kunci pembayaran milik Atis, produk lain yang dikembangkan Tellter. Akses tersebut kemudian digunakan untuk membebankan total US$7.316 ke kartu perusahaan.
Dua pelanggan Atis juga dilaporkan mengalami transaksi dalam jumlah kecil. Tellter menyatakan bahwa transaksi terhadap kedua pelanggan tersebut telah dikembalikan.
Perusahaan kini telah melaporkan insiden tersebut kepada otoritas perlindungan data Prancis dan sedang mengajukan pengaduan pidana terhadap pelaku.
Discord Hentikan Instalasi Baru Double Counter
Menanggapi insiden tersebut, Discord mengonfirmasi bahwa mereka mengetahui adanya masalah keamanan yang melibatkan Double Counter, sebuah aplikasi pihak ketiga yang tersedia di platform mereka.
Discord kemudian memutuskan untuk menonaktifkan instalasi baru Double Counter sembari bekerja sama dengan pengembangnya untuk memahami cakupan insiden secara menyeluruh.
Langkah tersebut diambil sebagai tindakan pencegahan selama investigasi berlangsung. Discord juga menyatakan akan mempertimbangkan tindakan lanjutan berdasarkan hasil pemeriksaan.
Double Counter sendiri dikenal sebagai bot yang digunakan untuk mendeteksi akun alternatif atau akun kedua. Layanan ini beroperasi di lebih dari 600.000 komunitas Discord dan mencatat alamat IP pengguna yang menjalani proses verifikasi.
Karena itu, kebocoran tersebut memunculkan kekhawatiran mengenai privasi pengguna yang sebelumnya mempercayakan proses verifikasi mereka kepada bot tersebut.
Pengguna Diminta Waspada terhadap Phishing
Tellter mengimbau pengguna yang pernah memberikan alamat email melalui layanan Double Counter agar meningkatkan kewaspadaan terhadap pesan mencurigakan.
Alamat email yang terekspos dapat dimanfaatkan untuk menjalankan serangan phishing, misalnya melalui email palsu yang menyamar sebagai Discord atau layanan resmi lainnya untuk mencuri informasi pribadi.
Pengguna sebaiknya tidak mengeklik tautan mencurigakan, tidak membagikan kata sandi atau kode autentikasi, serta mengaktifkan autentikasi dua faktor pada akun penting.
Insiden ini juga kembali menyoroti risiko keamanan aplikasi pihak ketiga yang terhubung ke Discord. Sekitar setahun sebelumnya, platform tersebut juga pernah memperingatkan sekitar 70.000 pengguna bahwa foto identitas resmi mereka mungkin telah diakses melalui vendor pihak ketiga.
Meski Discord menegaskan bahwa sistem utamanya tidak mengalami kebocoran dalam kasus Double Counter, kejadian ini menjadi pengingat bahwa aplikasi pihak ketiga tetap dapat menjadi sumber risiko terhadap privasi dan keamanan pengguna.
