Caída masiva de KYC en Discord: 70.000 usuarios exponen datos personales tras hackeo a proveedor de verificación

La identificación digital KYC (Know Your Customer) ha vuelto a demostrar su vulnerabilidad con una brecha de seguridad que ha comprometido ...

La identificación digital KYC (Know Your Customer) ha vuelto a demostrar su vulnerabilidad con una brecha de seguridad que ha comprometido los datos personales de aproximadamente 70.000 usuarios de Discord a nivel global, un incidente que ha expuesto fotos, nombres, direcciones de correo electrónico, datos de contacto, direcciones IP y mensajes de atención al cliente. El hackeo, detectado el 25 de octubre de 2025, se originó en una empresa externa contratada para gestionar el proceso de verificación de edad en la plataforma, un servicio que Discord implementó en 2023 para cumplir con regulaciones contra el contenido inapropiado para menores. Esta falla, que ha dejado a los afectados en riesgo de phishing, robo de identidad y acoso, resalta una vez más los peligros de la centralización en la verificación digital, donde un solo punto débil expone a masas de usuarios, y ha impulsado a expertos en ciberseguridad a cuestionar la fiabilidad de los sistemas KYC en plataformas sociales.

El ataque, que comenzó con la infiltración en los servidores de la firma de verificación —una compañía israelí con sede en Tel Aviv—, permitió a los piratas acceder a una base de datos no encriptada que contenía perfiles de usuarios que habían completado el proceso KYC para acceder a servidores restringidos o contenido adulto. Los datos robados incluyen 45.000 fotos de documentos de identidad, 60.000 correos electrónicos verificados, 50.000 números de teléfono y 30.000 direcciones IP asociadas a sesiones de verificación, junto con 20.000 mensajes de chat con el soporte técnico que revelan detalles personales como direcciones residenciales y números de tarjeta de crédito parcialmente ocultos. Discord, con 150 millones de usuarios activos mensuales, confirmó la brecha en un blog oficial el sábado, estimando que el 0,05% de su base de usuarios está afectado, principalmente adultos de 18 a 35 años en EE.UU., Europa y Asia. La plataforma ha suspendido temporalmente el proceso KYC y recomendado a los usuarios cambiar contraseñas y monitorear cuentas bancarias, pero el daño ya está hecho, con reportes iniciales de 500 casos de phishing dirigidos a las víctimas.

Esta vulnerabilidad no es aislada; refleja un patrón en la industria de verificación digital, donde el 40% de las brechas en 2025 han involucrado proveedores externos, según informes preliminares de ciberseguridad. La empresa israelí, que maneja KYC para plataformas como Twitch y Roblox, admitió en un comunicado que un empleado fue engañado mediante phishing para revelar credenciales, permitiendo el acceso remoto durante 12 horas antes de ser detectado. Los hackers, posiblemente un grupo respaldado por estados como Corea del Norte según especulaciones de expertos, no han reivindicado el ataque, pero han filtrado muestras de datos en foros de la dark web, vendiendo paquetes completos por 50.000 dólares en Bitcoin. Discord ha contratado a Mandiant para una auditoría forense, pero la exposición de IPs y correos ha generado oleadas de spam y amenazas, con 10.000 usuarios reportando intentos de fraude en las primeras 24 horas.

El impacto en la comunidad de Discord es profundo. Plataformas de gaming y streaming, donde el 60% de los usuarios son menores de 25 años, dependen de KYC para moderación, pero esta brecha ha erosionado la confianza, con un 35% de afectados considerando abandonar la app según encuestas en Reddit. Económicamente, Discord podría enfrentar multas de 100 millones de euros bajo el RGPD por no notificar la brecha en 72 horas, mientras la empresa de verificación israelí arriesga demandas colectivas por 500 millones. Socialmente, ha avivado debates sobre privacidad, con un 55% de usuarios en X exigiendo fin a KYC obligatoria. Políticamente, la UE presiona por reformas en verificación digital, recordando el GDPR. Esta falla no solo expone datos, sino que deja un legado de desconfianza en un mundo hiperconectado.