Un nuovo servizio pubblicizzato su un noto forum del dark web dedicato agli scambi di dati rubati sta attirando l’attenzione della community di sicurezza informatica per la piattaforma coinvolta, ovvero Discord. I gestori affermano di avere indicizzato oltre 1,8 miliardi di messaggi, 35 milioni di utenti, 207 milioni di sessioni vocali e dati provenienti da circa 6.000 server Discord, questo secondo quanto riportato dal team di ricerca di Cybernews. Per una quota di iscrizione, il servizio consentirebbe di consultare questa enorme mole di informazioni, apparentemente aggiornata in tempo reale.
Discord, già colpito in passato da episodi simili, non ha ancora rilasciato dichiarazioni ufficiali, ma l’iniziativa ricorda da vicino il caso Spy.Pet. Questo portale, chiuso nel 2024 dopo essere stato collegato a pratiche di scraping illegali, aveva raccolto miliardi di messaggi e persino collegato account Discord ad altri profili come Steam, offrendo “pacchetti enterprise” per l’addestramento di intelligenze artificiali. Secondo i ricercatori, l’attuale servizio rappresenta un’evoluzione di quel modello, con un’integrazione ancora più ampia di database violati e persino dati legati ai server modificati FiveM di GTA V.
Privacy, ricatti e rischi di abuso per gli utenti Discord
Il problema non si limita alla semplice violazione della privacy, in quanto i messaggi e le interazioni degli utenti Discord, se decontestualizzati, possono diventare strumenti di molestie mirate contro individui o comunità. Proprio per questo gli esperti sottolineano come il servizio si presenti principalmente come un mezzo per facilitare tali vessazioni.
Uno degli aspetti più controversi riguarda la monetizzazione. Oltre a vendere l’accesso al database di dati Discord, i gestori offrono agli utenti la possibilità di pagare per cancellare i propri dati o, a fronte di un importo maggiore, per essere esclusi dallo scraping futuro. Una pratica che ricorda da vicino un ricatto digitale mascherato da servizio opzionale.
Sebbene i termini di utilizzo indichino l’Estonia come sede legale, i dati sembrerebbero invece archiviati su server situati nella Federazione Russa. Una scelta che, secondo i ricercatori, potrebbe essere legata al tentativo di aggirare la rigida normativa europea in materia di protezione dei dati (GDPR). Tuttavia, proprio come nel caso Spy.Pet, attività di questo tipo violano diversi articoli della legge, incluso il diritto all’oblio.
L’episodio conferma come Discord, grazie alla vastità e coesione delle sue community, sia diventata un obiettivo costante per attacchi di scraping e raccolta abusiva di informazioni. In un caso recente, un gruppo ha dichiarato di aver già sottratto oltre 348 milioni di messaggi da circa 1.000 server pubblici, a dimostrazione di quanto il fenomeno sia diffuso e radicato.
