Double Counterの情報流出とは？Discordユーザー約2,800万件とメール約100万件（2026年10月7日）
この記事のポイント: Have I Been Pwned（HIBP）は2026年10月7日、Discordサーバー保護bot「Double Counter」の流出事件（2026年10月発生・公表データで一意なメールアドレス274,922件）を検索対象に追加しました。同社の公式報告ではDiscordユーザーID・ユーザー名が約2,800万件、メールアドレス約100万件がコピーされ、約50の大型サーバーに不正リンクが投稿されています。パスワードは含まれません。
テーマ: Discord アカウント乗っ取りの対処法・復旧と予防
Discordサーバーで不正アカウントやVPNを検出する保護bot「Double Counter」を運営する同社は、2026年10月4日に報告された標的攻撃を受け、データ流出が発生しました。流出データベース検索サービス「Have I Been Pwned（HIBP）」は2026年10月7日、この流出事件を検索対象に追加しました（出典: HIBP・2026年10月7日取得）。公表済みのコーパスに含まれる一意なメールアドレスは274,922件で、Discordのパスワードそのものは含まれていません。
同社の公式報告では、攻撃者がクラウドインフラ内で約5時間51分動き、データベースから約12GBをコピーし、約50の大型Discordサーバーに攻撃者サーバーへの招待リンクを投稿したと説明されています（出典: Double Counter 公式インシデント報告・2026年10月7日取得）。Discordを利用していて、同社のbotがいるサーバーに参加している人は、なりすましメッセージやフィッシングに注意が必要です。
何が起きたか（要点）
Double Counterは2020年からDiscordサーバーを守るbotとして運営されており、同社サイトの説明では「60万以上のコミュニティ」に利用されているとされています（出典: Double Counter 公式サイト・2026年10月7日取得）。2026年10月4日、以前のホスティング（OVH）に置いていた未使用サーバー上の分析ツール（Metabase）の脆弱性を突かれ、攻撃者がクラウドに侵入しました（出典: 公式インシデント報告・2026年10月7日取得）。
HIBPに登録された流出データの項目は次のとおりです（出典: HIBP・2026年10月7日取得）。
- メールアドレス（公表コーパスで一意 274,922件）
- Discordユーザー名
- 一部の有料購入者（Stripe経由）の氏名・国・郵便番号
- パスワード・Discordパスワード・保存されたカード番号は含まれない（同社説明・2026年10月7日取得）
公式報告で示された個人情報の規模は、DiscordユーザーIDとユーザー名が約2,800万件、IPアドレスと大まかな地理情報が約2,700万件、メールアドレスが約100万件（Doogleアカウント約84万件＋Double Counterダッシュボード等の連絡先約24万件）です（出典: 公式インシデント報告・2026年10月7日取得）。HIBPの274,922件は、そのうち公表コーパスに入った一意なメールアドレスの数です。
アカウント乗っ取りの観点で注意すべきこと
今回の流出にDiscordパスワードは含まれないため、流出データだけで直接ログインされる心配は同社説明の範囲ではありません（出典: 公式インシデント報告・2026年10月7日取得）。一方で、メールアドレスとDiscordユーザー名が組になったデータは、なりすましやフィッシングの標的リストとして悪用されるおそれがあります。攻撃者はすでに約50の大型サーバーで、Double Counterを装った招待リンクを投稿しています（同社報告・2026年10月7日取得）。
自分のメールアドレスが公表コーパスに含まれるかは、HIBPの検索画面で確認できます（出典: HIBP・2026年10月7日取得）。含まれていた場合、他のサービスで同じメールアドレスとパスワードを使い回しているなら、そのパスワードを変更し、二段階認証を有効にしてください。
利用者・サーバー管理者ができる対策
- Discordのパスワードを変更し、二段階認証を有効にする（同社の推奨アクション・2026年10月7日取得）
- 他のアカウントとパスワードを共有していないか見直す（流出データにパスワードは無いが、なりすまし対策として有効）
- Double Counter を装ったDMやサーバー招待リンクを安易に開かない
- サーバー管理者は、botの権限と投稿ログを確認し、不審な招待リンクが投稿されていないか点検する
- 支払い情報の利用者は、不正なチャージの有無を確認する（同社報告では別事業の口座に約7,316ドル相当の不正チャージがあったと説明）
同社は2026年10月4日19:19（UTC）に新しい認証情報でサービスを復旧したと報告しており、顧客資金は安全だと説明しています（出典: 公式インシデント報告・2026年10月7日取得）。
よくある質問
Q. Double Counterの情報流出で何が漏えいしましたか？
HIBPに登録された公表コーパスには、一意なメールアドレス274,922件とDiscordユーザー名が含まれます（出典: HIBP・2026年10月7日取得）。同社の公式報告では、DiscordユーザーID・ユーザー名が約2,800万件、メールアドレス約100万件がコピーされたと説明しています（出典: 公式インシデント報告・2026年10月7日取得）。
Q. パスワードは流出していないので対策は不要ですか？
同社説明では、Discordパスワードと保存カード番号は流出データに含まれないとしています（出典: 公式インシデント報告・2026年10月7日取得）。ただしメールアドレスとユーザー名の組はフィッシングやなりすましに使われるため、HIBPで確認し、二段階認証とパスワード変更を推奨します（出典: HIBP 推奨アクション・2026年10月7日取得）。
Q. 自分のメールアドレスが含まれているか確認するには？
HIBPの検索画面でメールアドレスを入力し、Double Counter の流出に含まれるか確認できます（出典: HIBP・2026年10月7日取得）。含まれていた場合、他のサービスのパスワード変更と二段階認証の有効化を優先してください。
Q. Discordサーバー管理者は何をすべきですか？
同社報告では、攻撃中のbotトークン悪用で約50の大型サーバーに不正リンクが投稿されています（出典: 公式インシデント報告・2026年10月7日取得）。botの投稿ログを確認し、Double Counter を装った招待リンクが残っていないか点検してください。
Q. 今後の流入リスクはありますか？
同社は2026年10月4日19:19（UTC）に新しい認証情報でサービスを復旧し、監視を続けると報告しています（出典: 公式インシデント報告・2026年10月7日取得）。一方、流出したメールアドレスとユーザー名の組は消えないため、フィッシングへの注意は継続してください。
アカウント乗っ取り・フィッシングの相談は、お問い合わせ（お問い合わせ）から受け付けています。
関連記事
GROWIの3つの脆弱性とは？影響バージョンとv8.0.7への更新を解説（2026年10月27日）
JVNは2026年10月27日、GROWI v8.0.6以前にある3つの脆弱性（CVE-2026-105272・CVE-2026-109848・CVE-2026-115624）を公表しました。閲覧権限のないページが読まれたり、下書きが書き換えられたりするおそれがあり、対策はv8.0.7への更新です。
AfDの情報流出とは？メール34.5万件が漏えい、自分のアドレスが含まれるかの調べ方（2026年10月27日）
Have I Been Pwned（HIBP）は2026年10月27日、ドイツの政党「AfD」の流出事件（2026年9月発生・公表データで一意なメールアドレス345,439件）を検索対象に追加しました。流出データにはメールアドレスとメール本文が含まれ、パスワードは含まれません。
Sleipnir Mobileの偽アドレスバー脆弱性と対策（2026年10月27日）
Sleipnir Mobile for Android 3.9.0未満では、画面上に偽のアドレスバーなどを表示される脆弱性が報告されました。細工されたWebページを開くとフィッシング被害に遭う可能性があります。対象バージョンと更新方法、利用者が確認したい点をJVNと開発元の発表から解説します。
この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針