Servicio de extracción de mensajes de Discord afirma tener acceso a 1.8 mil millones de mensajes
Una nueva forma de extracción de datos apunta a usuarios de Discord
Los creadores de herramientas en línea enfocadas en Discord están promocionando un servicio que, según afirman, ha extraído 1.8 mil millones de mensajes de 35 millones de usuarios en 6,000 servidores. El supuesto caché de datos también incluye 207 millones de sesiones de voz, perfiles de usuario y archivos, lo que genera serias preocupaciones de privacidad. Esto ocurre menos de dos años después de que Discord cerrara un servicio similar, Spy.Pet, por violar sus términos de servicio.
El nuevo servicio, anunciado en un popular foro de filtraciones de datos, afirma ofrecer a suscriptores de pago la capacidad de buscar entre miles de millones de registros. Investigadores de Cybernews, quienes informaron inicialmente sobre el servicio, advierten que dicho acceso podría utilizarse para acoso dirigido, doxxing y otras actividades maliciosas.
El alcance técnico de la supuesta extracción
Según el anuncio, el servicio indexa 1.8 mil millones de mensajes de 35 millones de usuarios. Pero los datos van más allá del texto: supuestamente incluye metadatos de sesiones de voz de 207 millones de llamadas, información de perfiles de usuario y archivos subidos a los servidores. El equipo de investigación de Cybernews señala que, aunque es imposible verificar el alcance completo sin suscribirse al servicio (lo cual desaconsejan), la afirmación de indexación en vivo sugiere una recopilación continua de datos.
Esta escala supera la operación anterior de Spy.Pet, que extrajo mensajes públicos de 620 millones de usuarios. El nuevo servicio también integra datos de bases de datos filtradas y servidores FiveM, expandiendo su alcance más allá de Discord.
Cómo funciona típicamente la extracción de datos de Discord
La extracción de mensajes de Discord generalmente se basa en herramientas de automatización o selfbots (cuentas de usuario automatizadas) que extraen datos de los canales a los que el bot puede acceder. Los servidores públicos de Discord son especialmente vulnerables, ya que sus mensajes son visibles para cualquier miembro. Herramientas comerciales de extracción, como las disponibles en plataformas como Apify, ofrecen guías paso a paso para obtener tokens de Discord y exportar historiales de mensajes. Si bien estas herramientas tienen usos legítimos (análisis de comunidades, archivado o copias de seguridad), pueden ser fácilmente utilizadas por actores maliciosos.
Registro en Estonia, servidores en Rusia: una paradoja de privacidad
Los términos y condiciones del servicio indican que opera desde Estonia, un miembro de la UE con estricto cumplimiento del GDPR. Sin embargo, los mismos Términos de Servicio supuestamente indican que los datos extraídos se almacenan en servidores ubicados en Rusia. Esto crea un vacío jurisdiccional: mientras afirma cumplir con las leyes de privacidad de la UE, el repositorio de datos podría estar efectivamente fuera del alcance de la UE.
“Es probable que el servicio se haya creado para facilitar el acoso en línea”, explicó el equipo de Cybernews. La estrategia de doble ubicación puede ayudar a los operadores a evitar repercusiones legales mientras monetizan los datos de dos maneras: cobrando a los usuarios por acceder a los mensajes y cobrando a las víctimas para que sus datos sean excluidos.
Monetización a través de la invasión de la privacidad
El modelo de negocio del servicio parece diseñado para explotar tanto la demanda de vigilancia como la desesperación por la privacidad. Los investigadores señalan que esto refleja el modelo de Spy.Pet, que también ofrecía una “opción empresarial” para entrenamiento de IA, supuestamente con interés de agencias federales. Al cobrar tanto por el acceso como por la omisión, los operadores pueden beneficiarse de la misma brecha que crean.
Comparación con Spy.Pet y el juego del gato y el ratón
A principios de 2024, Discord prohibió cuentas y bots vinculados a Spy.Pet, cortando efectivamente su suministro de datos. Los términos de servicio de Discord prohíben explícitamente la extracción de datos, y la empresa ha declarado que toma medidas contra los infractores. Sin embargo, la aparición de un servicio similar sugiere que las medidas son insuficientes.
El nuevo servicio afirma tener “más integración con bases de datos filtradas y servidores FiveM”, lo que indica una evolución en la agregación de datos. FiveM, un popular mod multijugador de Grand Theft Auto, a menudo alberga grandes comunidades con servidores de Discord. Al combinar datos de Discord con filtraciones externas, el servicio construye un perfil más completo de los usuarios, aumentando su valor para el acoso o el robo de identidad.
Implicaciones para los usuarios y comunidades de Discord
Para los usuarios cotidianos, la existencia de dicho servicio significa que cualquier cosa publicada en servidores públicos de Discord podría ser archivada, buscable y accesible para cualquiera dispuesto a pagar. Incluso los servidores privados no son inmunes si un miembro ejecuta un bot de extracción. Las sesiones de voz, aunque más difíciles de grabar, ahora también son objetivo.
El riesgo no es hipotético: a principios de este año, un grupo afirmó haber extraído más de 348 millones de mensajes de casi 1,000 servidores públicos de Discord. Con herramientas cada vez más sofisticadas y accesibles, la barrera de entrada para la extracción a gran escala se está reduciendo. Los administradores de comunidades y servidores deben tomar medidas proactivas para limitar la exposición, como restringir la visibilidad del historial de mensajes y monitorear bots no autorizados.
Discord aún no ha comentado públicamente sobre este servicio específico, pero el patrón sugiere un juego continuo del gato y el ratón. A medida que se cierra una operación de extracción de datos, surge otra, a menudo con más funciones y mejores técnicas de evasión. La carrera armamentista entre la seguridad de la plataforma y los recolectores de datos no muestra signos de desaceleración.