Usługa skrobania wiadomości Discord twierdzi, że ma dostęp do 1,8 miliarda wiadomości
Nowy rodzaj skrobania danych wymierzony w użytkowników Discorda
Twórcy narzędzi online skupionych na Discordzie reklamują usługę, która rzekomo zebrała 1,8 miliarda wiadomości od 35 milionów użytkowników z 6 000 serwerów. Rzekoma pula danych obejmuje również 207 milionów sesji głosowych, profile użytkowników i pliki, co budzi poważne obawy dotyczące prywatności. Dzieje się to niecałe dwa lata po tym, jak Discord zamknął podobną usługę, Spy.Pet, za naruszenie jego warunków korzystania z usługi.
Nowa usługa, reklamowana na popularnym forum wycieków danych, oferuje płacącym subskrybentom możliwość przeszukiwania miliardów rekordów. Naukowcy z Cybernews, którzy jako pierwsi poinformowali o usłudze, ostrzegają, że taki dostęp może być wykorzystany do ukierunkowanego nękania, doxxingu i innych złośliwych działań.
Techniczny zakres rzekomego skrobania
Według reklamy usługa indeksuje 1,8 miliarda wiadomości od 35 milionów użytkowników. Ale dane wykraczają poza tekst: podobno obejmują metadane sesji głosowych z 207 milionów połączeń, informacje o profilach użytkowników i pliki przesłane na serwery. Zespół badawczy Cybernews zauważa, że choć nie można zweryfikować pełnego zakresu bez subskrypcji usługi (czego odradzają), twierdzenie o indeksowaniu na żywo sugeruje ciągłe gromadzenie danych.
Ta skala przewyższa wcześniejszą operację Spy.Pet, która zebrała publiczne wiadomości od 620 milionów użytkowników. Nowa usługa integruje również dane z wyciekłych baz danych i serwerów FiveM, rozszerzając swój zasięg poza samego Discorda.
Jak zazwyczaj działa skrobanie danych z Discorda
Skrobanie wiadomości z Discorda zazwyczaj opiera się na narzędziach automatyzacji lub selfbotach (zautomatyzowanych kontach użytkowników), które wyodrębniają dane z kanałów, do których bot ma dostęp. Publiczne serwery Discord są szczególnie podatne na ataki, ponieważ ich wiadomości są widoczne dla każdego członka. Komercyjne narzędzia do skrobania, takie jak te dostępne na platformach takich jak Apify, oferują instrukcje krok po kroku dotyczące uzyskiwania tokenów Discord i eksportowania historii wiadomości. Chociaż narzędzia te mają uzasadnione zastosowania – analizę społeczności, archiwizację czy tworzenie kopii zapasowych – mogą być łatwo wykorzystane przez złośliwych aktorów.
Estońska rejestracja, rosyjskie serwery: paradoks prywatności
Warunki korzystania z usługi wskazują, że jest ona obsługiwana z Estonii, członka UE z rygorystycznym egzekwowaniem RODO. Jednak te same warunki podobno wskazują, że zebrane dane są przechowywane na serwerach znajdujących się w Rosji. Tworzy to lukę jurysdykcyjną: choć usługa twierdzi, że jest zgodna z unijnymi przepisami o prywatności, repozytorium danych może znajdować się poza zasięgiem UE.
„Usługa została prawdopodobnie stworzona, aby ułatwić nękanie w Internecie” – wyjaśnił zespół Cybernews. Strategia podwójnej lokalizacji może pomóc operatorom uniknąć konsekwencji prawnych, jednocześnie zarabiając na danych na dwa sposoby: pobierając opłaty od użytkowników za dostęp do wiadomości oraz od ofiar za wykluczenie ich danych.
Monetyzacja poprzez naruszenie prywatności
Model biznesowy usługi wydaje się zaprojektowany tak, aby wykorzystać zarówno popyt na inwigilację, jak i desperację w kwestii prywatności. Naukowcy zauważają, że odzwierciedla to model Spy.Pet, który również oferował „opcję korporacyjną” do szkolenia AI – rzekomo z zainteresowaniem agencji federalnych. Pobierając opłaty zarówno za dostęp, jak i za pominięcie, operatorzy mogą zarabiać na samym naruszeniu, które tworzą.
Porównanie z Spy.Pet i gra w kotka i myszkę
Na początku 2024 roku Discord zablokował konta i boty powiązane z Spy.Pet, skutecznie odcinając jego źródło danych. Warunki korzystania z Discorda wyraźnie zabraniają skrobania, a firma oświadczyła, że podejmuje działania egzekucyjne wobec naruszających je. Jednak pojawienie się podobnej usługi sugeruje, że środki te są niewystarczające.
Nowa usługa twierdzi, że ma „większą integrację z wyciekłymi bazami danych i serwerami FiveM”, co wskazuje na ewolucję agregacji danych. FiveM, popularny mod do gry Grand Theft Auto w trybie wieloosobowym, często gości duże społeczności z serwerami Discord. Łącząc dane z Discorda z zewnętrznymi wyciekami, usługa buduje bogatszy profil użytkowników, zwiększając swoją wartość dla nękania lub kradzieży tożsamości.
Konsekwencje dla użytkowników i społeczności Discorda
Dla zwykłych użytkowników istnienie takiej usługi oznacza, że wszystko, co zostało opublikowane na publicznych serwerach Discord, może zostać zarchiwizowane, przeszukiwane i dostępne dla każdego, kto jest skłonny zapłacić. Nawet prywatne serwery nie są odporne, jeśli członek uruchomi bota skrobującego. Sesje głosowe, choć trudniejsze do nagrania, są teraz również celem.
Ryzyko nie jest hipotetyczne: wcześniej w tym roku grupa twierdziła, że zebrała ponad 348 milionów wiadomości z prawie 1000 publicznych serwerów Discord. Wraz z coraz bardziej zaawansowanymi i dostępnymi narzędziami, bariera wejścia dla skrobania na dużą skalę obniża się. Menedżerowie społeczności i administratorzy serwerów powinni podjąć proaktywne kroki, aby ograniczyć narażenie, takie jak ograniczenie widoczności historii wiadomości i monitorowanie nieautoryzowanych botów.
Discord nie skomentował jeszcze publicznie tej konkretnej usługi, ale wzór sugeruje kontynuację gry w kotka i myszkę. Gdy jedna operacja skrobania danych zostanie zamknięta, pojawia się kolejna – często z większą liczbą funkcji i lepszymi technikami unikania. Wyścig zbrojeń między bezpieczeństwem platformy a zbieraczami danych nie wykazuje oznak spowolnienia.