Ataque de hacker provoca la filtración de documentos de verificación de edad en Discord

Nunca hemos sido precisamente fanáticos de la ola creciente de leyes de verificación de edad que están surgiendo en todo el mundo, más recientemente —y quizás de forma más notable— en Estados Unidos y el Reino Unido. En estos países, la Online Safety Act ahora obliga a las plataformas a verificar la edad de sus usuarios, con sanciones bastante severas en caso de incumplimiento.

Nuestro problema —y el de muchos otros especialistas en privacidad y seguridad— con estos sistemas de verificación de edad (y con las plataformas que los implementan) es simple: obligan a los usuarios a entregar aún más información personal altamente sensible. Estamos hablando de imágenes de documentos, como licencias de conducir o pasaportes. Y cuando las plataformas que almacenan este tipo de datos son hackeadas —especialmente si alojan contenido para adultos—, las consecuencias pueden ser simplemente desastrosas.

La Online Safety Act del Reino Unido, que exige verificaciones de edad “robustas” para las plataformas en línea, entró en vigor el 25 de julio de este año. Anticipándose al plazo, Discord comenzó a implementar su sistema de verificación de edad en abril de 2025, con una fase de pruebas limitada que incluía el escaneo facial para estimar la edad de los usuarios. Cuando la ley entró en vigor, la política se expandió rápidamente para abarcar a todos los usuarios con sede en el Reino Unido.

Una bomba de tiempo

Como probablemente ya imaginabas, esto era una bomba de tiempo. La semana pasada, Discord confirmó que una cantidad significativa de datos personales de usuarios, procesados por un proveedor externo de atención al cliente, fue comprometida. Según Discord, los atacantes obtuvieron acceso a “una pequeña cantidad de imágenes de documentos gubernamentales (por ejemplo, licencias de conducir o pasaportes)” de usuarios que habían apelado una decisión de verificación de edad.

Otros datos que cayeron en manos de los hackers incluían:

• Nombres, nombres de usuario en Discord, correos electrónicos y otros datos de contacto (si se proporcionaron al soporte)
• Información de pago limitada, como el tipo de método de pago, los últimos cuatro dígitos de la tarjeta y el historial de compras (si estaban vinculados a la cuenta)
• Direcciones IP
• Mensajes intercambiados con el equipo de soporte de Discord
• Algunos documentos corporativos internos (materiales de capacitación, presentaciones internas)

Discord afirmó que estos datos fueron expuestos durante el ataque del 20 de septiembre y que los hackers exigieron un rescate para no filtrar la información. Según el sitio BleepingComputer, el proveedor externo en cuestión era Zendesk, una popular plataforma de soporte al cliente utilizada por muchas grandes empresas.

Tras el ataque, Discord informó que revocó el acceso del proveedor al sistema de tickets, contrató especialistas en análisis forense digital e inició una investigación interna.

Aún no está claro cuántos usuarios fueron afectados, pero Discord cuenta con alrededor de 250 millones de usuarios activos mensuales. Al mismo tiempo, las verificaciones de edad se aplican completamente solo a los usuarios con sede en el Reino Unido, donde son obligatorias. El propio Discord ha estado probando lo que llama “confirmación de edad” en otras regiones, como supuestamente en Australia. Esto significa que, aunque aún es algo limitado, la verificación de edad está en camino de convertirse en una práctica ampliamente extendida —y precisamente por eso vale la pena hablar de ello.

Sigue las reglas, expón tu documento

Normalmente, para crear una cuenta en una plataforma en línea, no necesitas enviar tu documento de identidad —entonces, ¿cómo terminaron estas fotos de identificación en manos del proveedor externo de Discord y, eventualmente, de los hackers?

El culpable es el nuevo sistema de verificación de edad implementado por Discord. Según las directrices de la plataforma, solo hay dos maneras de comprobar tu “rango de edad”: escanear tu rostro o enviar una imagen de tu documento de identidad. Ante esta elección, la mayoría de los usuarios probablemente prefiera tomarse una selfie en lugar de enviar un documento oficial. Algunos son aún más creativos —intentando engañar al sistema con capturas del modo foto del juego Death Stranding. Pero si quieres “hacer las cosas bien”, terminarás enviando tu rostro o tu documento.

Y fueron precisamente los usuarios que siguieron las reglas los que terminaron en el centro de la más reciente filtración de datos. Discord afirma que el sistema fue construido con enfoque en la privacidad y que ningún documento de identificación o selfie en video se almacena permanentemente:

“Discord y k-ID (el proveedor de verificación de Discord) no almacenan permanentemente documentos de identidad personal ni tus selfies en video. La imagen del documento de identidad y la selfie de coincidencia facial se eliminan inmediatamente después de confirmar tu rango de edad, y el video usado para estimar la edad nunca sale de tu dispositivo.”

Tenemos que confiar en su palabra: que los datos realmente se eliminan inmediatamente después de usarse. Pero hay un problema —si el sistema falla al verificar tu edad (lo cual, seamos honestos, no es raro —la tecnología de estimación de edad está lejos de ser perfecta), el usuario es dirigido a contactar al equipo de Trust and Safety de Discord. Es en ese momento cuando se le pide que envíe nuevamente su documento o una selfie. Esas fueron las fotos y documentos que se filtraron.

El verdadero costo del cumplimiento

Desafortunadamente para Discord —y para todas las demás plataformas que están siendo presionadas para implementar sistemas similares— esto es solo el comienzo. Cuantos más datos personales se vean obligadas las plataformas a recopilar solo para permitir el inicio de sesión de los usuarios, más oportunidades surgirán para filtraciones, ataques y explotación. La superficie de ataque solo aumenta.

La regla de oro (como siempre) es: minimiza la cantidad de datos personales que compartes en línea. Ya sea en un sitio web, aplicación o plataforma, mientras menos información proporciones, menos habrá que filtrar.

En este caso, eso puede significar recurrir a una alternativa como conectarte a un servidor VPN en un país donde las leyes de verificación de edad aún no sean obligatorias. Pero nadie sabe por cuánto tiempo seguirá funcionando este truco.

Con suerte, incidentes como este sirvan como advertencia. Que las grandes empresas tecnológicas y otras plataformas comiencen a resistirse, en lugar de simplemente inclinarse y obedecer. Porque, en este momento, el precio del cumplimiento empieza a parecer peligrosamente alto.