디스코드 외주업체 해킹, 신분증 7만 건 유출과 몸값 협박 사태

2025년 9월 20일 사이버 범죄조직이 디스코드의 외주 고객지원 업체 5CA 소속 상담원 계정을 탈취해 디스코드의 젠데스크 기반 고객지원 티켓 시스템에 무단 접근했다. 공격자는 이 계정을 통해 약 58시간 동안 시스템 내부에 머물며 이용자 문의 내역과 개인정보를 열람·수집한 것으로 확인됐다. 디스코드 자체 서버와 데이터베이스는 침해되지 않았지만, 상담원 계정을 우회 경로로 삼아 대량의 민감정보가 노출되는 계기가 됐다. 특히 성인 연령 인증 절차에서 이용자가 이의제기용으로 제출한 정부 발급 신분증 사진까지 포함돼 있어 파장이 커졌다. 디스코드는 사건 인지 직후 포렌식 업체와 법 집행기관에 신고하고 해당 업체의 시스템 접근 권한을 즉시 차단했다.

해킹을 자처한 사이버범죄 연합체 '스캐터드 랩서스 헌터스(Scattered Lapsus$ Hunters)'는 2025년 9월 25일부터 디스코드 측에 직접 접촉해 탈취한 자료를 공개하지 않는 대가로 500만 달러를 요구했다. 이 조직은 스캐터드 스파이더, 랩서스, 샤이니헌터스 등 여러 해킹 그룹의 수법과 브랜드를 결합해 활동하는 것으로 알려져 있다. 협상은 10월 2일까지 비공개로 이어졌고 그 과정에서 요구 금액이 350만 달러로 낮아졌다. 그러나 디스코드는 몸값을 지급해도 추가 협박과 재유출을 막을 수 없다고 판단해 지급을 거부했다. 이 결정은 이후 해커 측이 탈취 자료를 유출 포럼에 공개하겠다고 재차 위협하는 빌미가 됐다.

디스코드는 2025년 10월 3일 공식 보도자료를 통해 5CA 경유 침해 사실을 처음으로 공개했다. 회사는 성인 연령 인증 과정에서 이의를 제기하며 신분증 사진을 제출했던 이용자 중 약 7만 명의 여권·운전면허증 사진이 유출됐다고 밝혔다. 이 외에도 이름, 이용자명, 이메일 주소, 상담원과 나눈 대화 내용, 결제수단 마지막 네 자리, IP 주소 등이 함께 노출됐다고 설명했다. 다만 비밀번호나 카드 전체번호, 일반 다이렉트 메시지는 유출되지 않았다고 강조했다. 디스코드는 영향을 받은 이용자에게 개별 이메일로 통지하고 에퀴팩스 신용 모니터링 서비스를 무상 제공하겠다고 밝혔다.

2025년 10월 7일 미국 캘리포니아 북부연방지방법원에 '우세타 대 디스코드(Uceta v. Discord Inc., 3:25-cv-08582)' 집단소송이 제기됐다. 원고 재클린 우세타 측은 디스코드가 외주업체에 대한 보안 관리·감독 의무를 소홀히 해 이용자 개인정보를 위험에 노출시켰다고 주장했다. 소장에는 과실, 묵시적 계약 위반, 부당이득, 연방거래위원회법 위반 등의 청구 원인이 포함됐다. 원고 측은 무상 신용 모니터링 기간 연장과 손해배상, 재발 방지를 위한 보안 개선을 요구했다. 이후 몇 주 사이 유사한 취지의 소송이 여러 건 추가로 제기되며 병합 논의로 이어졌다.

스캐터드 랩서스 헌터스는 디스코드의 공식 발표 직후 실제로는 약 1.5테라바이트, 이용자 550만 명분의 자료와 210만 장에 달하는 정부 발급 신분증 사진을 확보했다고 주장했다. 해커들은 다크웹 유출 포럼과 텔레그램 채널에 일부 샘플 이미지를 게시하며 규모를 축소했다는 의혹을 제기했다. 반면 디스코드는 자체 조사 결과 실제 유출 규모는 약 7만 명 수준이며 해커 측 주장은 협상력을 높이려는 과장이라고 재반박했다. 보안업계에서도 두 수치 사이의 큰 격차를 두고 진위 공방이 이어졌다. 이 공방은 이후 해커 조직이 활동하던 브리치포럼이 미국·프랑스 수사당국에 압수되면서 추가 유출 위협이 다소 잦아드는 계기로 이어졌다.

맬웨어바이츠 등 보안업체들은 유출된 신분증 사진이 명의도용, 계정 탈취, 표적형 피싱 공격에 악용될 수 있다고 잇달아 경고했다. 특히 미성년 여부 확인을 위해 신분증을 제출했던 이용자들이 표적이 될 위험이 크다는 점이 지적됐다. 일부 피해자는 유출 사실을 안내하는 것처럼 위장한 가짜 이메일을 받았다는 신고도 나왔다. 프로톤 등 프라이버시 업체들은 영국·호주 등에서 시행 중이거나 예정된 온라인 연령 인증 의무화 법안이 이용자에게 신분증 제출을 강제하면서 이런 대규모 유출 위험을 구조적으로 키운다고 지적했다. 이 사건은 연령 인증 정책 전반의 개인정보 보호 취약성을 보여주는 사례로 거론됐다.

2025년 11월 들어 캘리포니아 연방소송 외에도 뉴저지주 법원에 소비자보호법 위반을 주장하는 별도 소송이 제기되는 등 디스코드를 상대로 한 유사 소송이 잇따랐다. 원고들은 디스코드가 외주 상담업체에 대한 보안 실사와 접근권한 관리를 제대로 하지 않아 대규모 개인정보 유출을 초래했다고 주장했다. 여러 로펌이 피해자를 대리해 조사에 착수했고, 다수의 소송이 캘리포니아 북부연방지법으로 이송·병합되는 절차가 논의되기 시작했다. 디스코드 측은 소송 내용에 대한 구체적 답변을 자제한 채 자체 보안 강화 조치를 강조했다. 이 시기 디스코드는 피해자 대상 신용 모니터링 신청 마감을 이듬해 3월 말로 안내했다.