Discord hat einen Sicherheitsvorfall bei seinem externen Kundendienstanbieter 5CA gemeldet, der möglicherweise 70.000 Fotos von Regierungsausweisen offengelegt hat. Der Anbieter, 5CA, hat seitdem eine herausgegeben Stellungnahme Es leugnete, dass seine Systeme verletzt worden seien, was zu einer widersprüchlichen Darstellung des Ereignisses führte. Nach Angaben der Chat-Plattform betraf der Vorfall eine bestimmte Gruppe von Nutzern. Zwietracht angegeben„Dieser Vorfall betraf eine begrenzte Anzahl von Benutzern, die mit unserem Kundensupport oder unseren Trust & Safety-Teams kommuniziert hatten.“ Innerhalb dieser Gruppe identifizierte das Unternehmen „ungefähr 70.000 Benutzer, bei denen möglicherweise Fotos von amtlichen Ausweisen offengelegt wurden“. Diese Ausweisdokumente wurden vom Anbieter zur Prüfung altersbezogener Einsprüche von Nutzern verwendet. Discord betonte, dass die Veranstaltung keine direkte Kompromittierung der eigenen Infrastruktur darstellte und erklärte: „Dies war kein Verstoß gegen Discord, sondern vielmehr ein Verstoß gegen einen Drittanbieter, 5CA, den wir zur Unterstützung unserer Kundendienstbemühungen eingesetzt haben.“ Als Reaktion auf die Ankündigung von Discord veröffentlichte 5CA eine formelle Erklärung auf seiner Website, in der ein anderer Bericht über den Vorfall präsentiert wurde. Das Kundendienstunternehmen erklärte, es sei „nicht gehackt“ worden. In der Erklärung heißt es: „Im Gegensatz zu diesen Berichten können wir bestätigen, dass keines der Systeme von 5CA beteiligt war und 5CA keine von der Regierung ausgestellten Ausweise für diesen Kunden bearbeitet hat.“ 5CA bekräftigte die Integrität seiner Infrastruktur und fügte hinzu: „Alle unsere Plattformen und Systeme bleiben sicher und Kundendaten werden weiterhin durch strenge Datenschutz- und Sicherheitskontrollen geschützt.“ 5CA erläuterte, dass es eine laufende forensische Untersuchung der Angelegenheit durchführe. Dieser Prozess erfordert eine enge Zusammenarbeit mit seinem Kunden Discord sowie mit externen Beratern. Das Unternehmen hat Cybersicherheitsexperten und ethische Hacker engagiert, um die Untersuchung zu unterstützen. In der Erklärung heißt es, dass wir auf der Grundlage der Zwischenergebnisse dieser Untersuchung „bestätigen können, dass sich der Vorfall außerhalb unserer Systeme ereignet hat“. Das Unternehmen berichtete außerdem, dass es derzeit „keine Hinweise auf Auswirkungen des gemeldeten Vorfalls auf andere 5CA-Clients, -Systeme oder -Daten“ gebe. Der Anbieter hat eine mögliche Erklärung für die Offenlegung der Daten angeboten, während die Untersuchung noch andauert.
Uns sind Medienberichte bekannt, in denen 5CA als Ursache für eine Datenschutzverletzung bei einem unserer Kunden genannt wird. Im Gegensatz zu diesen Berichten können wir bestätigen, dass keines der Systeme von 5CA beteiligt war und 5CA keine von der Regierung ausgestellten Ausweise für diesen Kunden bearbeitet hat. Alle unsere Plattformen und Systeme bleiben sicher und die Kundendaten werden weiterhin durch strenge Datenschutz- und Sicherheitskontrollen geschützt.
Wir führen eine laufende forensische Untersuchung der Angelegenheit durch und arbeiten eng mit unserem Kunden sowie externen Beratern zusammen, darunter Cybersicherheitsexperten und ethische Hacker. Basierend auf Zwischenergebnissen können wir bestätigen, dass der Vorfall außerhalb unserer Systeme aufgetreten ist und 5CA nicht gehackt wurde. Es gibt keine Hinweise auf Auswirkungen auf andere 5CA-Clients, -Systeme oder -Daten. Zugangskontroll-, Verschlüsselungs- und Überwachungssysteme sind voll funktionsfähig und werden vorsorglich einer verstärkten Überprüfung unterzogen.
Unseren vorläufigen Informationen zufolge könnte der Vorfall auf menschliches Versagen zurückzuführen sein, dessen Ausmaß noch untersucht wird. Wir bleiben in engem Kontakt mit allen relevanten Parteien und werden verifizierte Ergebnisse weitergeben, sobald diese bestätigt sind.
-5CA
Nach den widersprüchlichen Aussagen der beiden Unternehmen bleiben einige zentrale Fragen unbeantwortet. 5CA wurde gebeten, zu bestätigen, ob ihre Tätigkeiten die Bearbeitung der fraglichen Regierungsausweisfotos beinhalteten, und genauere Informationen über den „menschlichen Fehler“ bereitzustellen, den sie als mögliche Ursache anführte. Gleichzeitig wurde Discord gebeten, zu bestätigen, welches Unternehmen im Besitz der Regierungsausweisfotos war, auf die während des Sicherheitsvorfalls möglicherweise zugegriffen wurde.
