Discord 再次被卷入一起数据暴露事件，但这一次的薄弱环节并非聊天平台本身。Discord Double Counter 数据泄露涉及一个名为 Double Counter 的服务器保护服务，据 Al Bawaba 报道，该服务泄露了约 27.5 万个唯一电子邮件地址。这一事件提醒我们，围绕 Discord 构建的工具同样可能像平台本身一样暴露用户信息。
Double Counter 泄露事件暴露了什么
根据现有报道，Double Counter 是一个在 Discord 社区中使用的服务器保护服务。此次泄露了大约 27.5 万个唯一电子邮件地址。消息来源将其描述为又一起与 Discord 生态系统相关的重大数据泄露事件，但并未提供其他数据类型、时间线或泄露原因的详细说明。我们不会对这些细节进行猜测。
我们能说的内容有限但很重要：电子邮件地址被大规模暴露，且暴露是通过第三方服务发生的，而非被描述为 Discord 自身系统遭到入侵。如果你曾在某个服务器上通过保护机器人进行验证，值得检查一下 Double Counter 是否就是其中之一。
为什么第三方 Discord 机器人是薄弱环节
Discord 服务器在管理、验证和防袭击保护方面严重依赖机器人和附加服务。每一个都由独立的运营者运行，拥有各自的安全实践，且每一个都可能持有经过该服务器的用户信息。当你授权一个应用时，你就是在信任该运营者能保护好它收集的所有信息。
这就造成了一个许多用户从未想过的缺口。Discord 可以保护自己的基础设施，但无法完全控制外部开发者如何存储他们通过已授权应用获取的数据。保护服务也是一个有吸引力的目标，因为它的用途就是验证和筛查成员，这意味着它可能处理来自众多服务器的大量用户的身份信息。
这种模式并非 Discord 独有。我们对4 万 Twitch 主播泄露声明的报道展示了暴露的联系方式如何以不同方式传播，以及泄露的原因并不总是主平台被直接黑客攻击。实际的教训是一样的：关注与你账户关联的整个服务链条，而不仅仅是那个引人注目的平台。
泄露的电子邮件对钓鱼和账户接管意味着什么
电子邮件地址本身不是密码，仅电子邮件泄露并不意味着任何人可以登录你的账户。但它对攻击者仍有价值。一份与特定社区或服务相关的地址列表让诈骗者能够制作看起来相关的消息，例如伪造的 Discord 安全通知、伪造的服务器验证提示，或关于你账户的虚假警报。
账户接管的风险是间接的。如果一封钓鱼邮件说服你在虚假登录页面上输入凭据，或者你在多个服务之间重复使用密码，一个泄露的地址就会成为更广泛攻击的起点。游戏玩家和社区管理员是这类社会工程攻击的常见目标，因为被入侵的 Discord 账户可以被用来向朋友和服务器传播诈骗链接。
这对你意味着什么
如果你使用 Discord，关键问题是你是否曾经与 Double Counter 有过交互，例如在使用了它的服务器上进行验证。如果是，请将你的电子邮件地址视为可能已暴露。你不需要恐慌，但在一段时间内你应该对意外消息更加警惕。
即使你从未使用过这个特定服务，该事件也具有广泛的适用性。你授权的每一个机器人都是另一个公司或个人，可以获取你的部分信息。你依赖的越少，你的暴露面就越小。
如何减少你在 Discord 上的暴露
- 审查已授权的应用。 在你的 Discord 设置中，查看与你的账户关联的应用和机器人，移除你不再使用或不认识的。
- 小心验证提示。 在完成要求你提供超出舒适范围的信息的验证流程之前，请三思。
- 对意外电子邮件保持怀疑。 不要点击声称来自 Discord 或某个服务器的消息中的链接。直接打开应用。
- 使用唯一密码和双重验证。 这可以在钓鱼攻击在其他地方得逞时限制损害。
- 考虑使用单独的电子邮件地址。 为 Discord 和类似服务使用专用地址可以防止泄露事件暴露你的主邮箱。
要点总结
Discord Double Counter 数据泄露事件表明，你在 Discord 上的暴露程度不仅仅取决于平台自身的防御。约 27.5 万个唯一电子邮件地址通过一个服务器保护服务泄露，最安全的应对方式是减少持有你信息的第三方数量。
从审查你在 Discord 上授权了哪些第三方应用和机器人开始，移除你不需要的。要了解平台本身还收集了你的哪些信息，请阅读我们对 Discord 新年龄检查及真正收集了哪些数据的分析，以及我们对 Discord 9 月 23 日年龄检查的指南。
