Discordは2025年10月上旬、第三者の顧客サポートベンダーが侵害を受け、ユーザーデータが盗まれたことを発表した。
Discord自身のシステムへの直接的なアクセスはなかったが、同社のヘルプチームまたはTrust & Safetyチームに連絡したユーザーが提出したサポートチケットと個人情報が流出した。
盗まれたデータには、氏名、メールアドレス、決済タイプ、クレジットカードの下4桁、年齢確認用の政府発行ID画像、IPアドレス、カスタマーサービスに送信されたメッセージと添付ファイルが含まれる可能性がある。攻撃者はDiscordから金銭的な身代金を強要する目的でデータにアクセスした。
Discordは侵入検知後すぐにベンダーのアクセスを遮断し、法執行機関に通報した。影響を受けたユーザー数は「限定的」とされるが、具体的な数字は明らかにされていない。Discordの月間アクティブユーザーは2億人以上である。
From: 
Discord blames third-party support outfit for data breach – The Register
【編集部解説】
今回のDiscordにおけるデータ漏洩事案は、現代のデジタルサービスが抱える「サプライチェーンリスク」の典型例といえます。Discord自身のシステムは侵害されていないにもかかわらず、委託先のカスタマーサポートベンダーが攻撃を受けたことで、ユーザーの個人情報が流出しました。
特に注目すべきは、攻撃者の目的が単なるデータ窃取ではなく、Discord本体への身代金要求だった点です。これは「サプライチェーン攻撃」と「ランサムウェア攻撃」を組み合わせた手法であり、直接攻撃が困難な大手企業に対して、セキュリティの弱い委託先を経由して圧力をかける戦術が用いられています。
流出した情報の中で最もリスクが高いのは、年齢確認用に提出された政府発行IDの画像でしょう。運転免許証やパスポートなどの身分証明書は、なりすまし詐欺や不正な口座開設に悪用される可能性があります。クレジットカード情報は下4桁のみとはいえ、他の個人情報と組み合わせることで、フィッシング詐欺の精度を高める材料となり得ます。
企業のアウトソーシング戦略において、コスト削減と業務効率化は重要な要素ですが、今回の事案は委託先のセキュリティ管理体制の監督責任が問われるケースとなりました。プラットフォームの健全性を維持する「Trust & Safety」部門の活動が、いかに外部委託先のセキュリティに依存しているかが浮き彫りになったと言えるでしょう。月間2億人以上のユーザーを抱えるプラットフォームにとって、「限定的」という表現の具体的な規模が明らかにされていない点も、透明性の観点から課題が残ります。
今後、類似のサービスを提供する企業は、委託先選定時のセキュリティ基準の厳格化や、定期的な監査体制の強化が求められるでしょう。利用者側も、サポート問い合わせ時に提供する情報の必要最小限化を意識することが、自衛策として重要になってきます。
【用語解説】
サプライチェーン攻撃
直接の標的ではなく、その取引先や委託先といった「供給網」を経由して本命の企業やユーザーを攻撃する手法。セキュリティが比較的脆弱な小規模事業者を侵害し、そこから大手企業のシステムやデータにアクセスする。
ランサムウェア攻撃
データを暗号化したり窃取したりして、その復旧や公開停止と引き換えに身代金を要求するサイバー攻撃。近年は暗号化だけでなく、データを盗んで「公開する」と脅迫する二重恐喝の手法が主流になっている。
Trust & Safety
オンラインプラットフォームにおいて、ユーザーの安全を守り、不適切なコンテンツや行為を監視・対処する部門。嫌がらせ、違法コンテンツ、未成年保護などを担当する。
フィッシング詐欺
実在する企業や組織を装った偽のメールやウェブサイトを用いて、個人情報やパスワード、クレジットカード情報などを騙し取る詐欺手法。
【参考リンク】
Discord公式サイト（外部）
月間2億人以上が利用するコミュニケーションプラットフォーム。ゲーマーを中心に音声・テキスト・ビデオチャット機能を提供している。
The Register（外部）
1994年創刊の英国発IT専門ニュースメディア。エンタープライズIT、セキュリティ分野を批判的視点で報道する。
【参考記事】
Discord confirms data breach at customer service vendor（外部）
Discordのサードパーティベンダー侵害について、流出データの詳細と攻撃者の身代金要求を報じた記事。
Discord Support Tickets Exposed in Third-Party Data Breach（外部）
サポートチケット情報の露出経緯と、Discordが影響を受けたユーザーへ通知を実施している状況を解説。
Discord data breach: What we know so far（外部）
Discordのデータ漏洩について現時点で判明している事実をまとめ、影響範囲や委託先情報の非公開について言及。
【編集部後記】
今回のDiscordの事案は、私たち自身がどこまで「情報を預ける相手」を意識できているかを問いかけています。サポートへの問い合わせ一つとっても、そのデータがどこで管理され、誰がアクセスできるのか——普段はほとんど考えることがありません。
みなさんは、オンラインサービスに問い合わせる際、どの程度まで個人情報を開示していますか？ 本当に必要最小限の情報だけを提供しているでしょうか。便利さとセキュリティのバランスは、これからますます難しい選択を迫られそうです。この機会に、ご自身が利用しているサービスのプライバシーポリシーや、データの取り扱い方針を見直してみるのも良いかもしれません。
