Amb més de 200 milions d'usuaris actius mensuals a les comunitats de videojocs, ecosistemes Web3 i desenvolupadors de codi obert, Discord representa un objectiu d'alt valor per als ciberdelinqüents. Com que el client d'escriptori de Discord s'executa sobre el marc Electron i emmagatzema els testimonis d'autenticació de sessió a l'emmagatzematge local LevelDB, el programari maliciós convencional (com ara PirateStealer, W4SP Stealer i Hazard Grabber) pot exfiltrar testimonis en qüestió de mil·lisegons.
Genera codis dinàmics de 6 dígits cada 30 segons. Evita el farciment de credencials i accessos no autoritzats.
Conjunt de 10 codis d'un sol ús. L'única via de recuperació autoritzada si es perd el telèfon o l'autenticador.
Exigeix 2FA per a totes les accions administratives (expulsar, bandejar, suprimir canals) a tot el personal del servidor.
Model d'amenaces: Per què es roben els comptes de Discord
Per construir una defensa eficaç, els professionals de la seguretat han de disseccionar l'anatomia dels incidents reals de compromís a Discord. Un mite persistent entre els usuaris habituals és que «les contrasenyes complexes amb caràcters especials ofereixen prou protecció». En l'ecosistema actual d'amenaces cibernètiques, els atacs tradicionals de força bruta han estat superats per tres vectors devastadors:
1. Token Grabbers i infostealers de Discord
El client d'escriptori de Discord manté el testimoni de sessió actiu de l'usuari en un fitxer de base de dades local no xifrat o fàcilment desxifrable situat a %APPDATA%\Discord\Local Storage\leveldb a Windows (i ~/Library/Application Support/discord a macOS). Quan un usuari desprevingut descarrega un executable disfressat de versió beta d'un joc, filtre d'àudio o script de bot per a la comunitat, la càrrega útil extreu aquest testimoni criptogràfic i l'envia a l'atacant mitjançant un Webhook de Discord en pocs segons. Amb aquest testimoni a la mà, l'atacant l'injecta a les capçaleres del seu propi navegador, eludint completament la pantalla d'inici de sessió.
2. Campanyes de pesca (phishing) mitjançant codis QR (esquers de Nitro)
Els atacants creen pàgines d'aterratge fraudulentes que afirmen distribuir «subscripcions gratuïtes de 3 mesos a Discord Nitro» o «passaports de verificació de servidors». El codi QR que es mostra és en realitat un desafiament d'inici de sessió «Inicia sessió amb codi QR» legítim de Discord iniciat pel servidor de l'atacant. Quan la víctima escaneja el codi amb la seva aplicació mòbil de Discord i confirma la petició, autoritza involuntàriament una nova sessió d'escriptori per a l'agressor.
3. Preses de control hostils de servidors mitjançant el compromís del personal
A les grans comunitats, si un sol moderador sense autenticació en dos passos veu compromès el seu compte, l'atacant aprofita els permisos administratius per esborrar canals d'anuncis, bandejar massivament membres actius i difondre enllaços de pesca de criptomonedes a milers de membres simultàniament.
Tot i que un testimoni de sessió robat permet a l'atacant fer crides limitades a l'API dins d'una sessió activa, Discord exigeix l'autenticació 2FA per a qualsevol modificació de compte d'alt privilegi: canviar l'adreça electrònica principal, restablir la contrasenya, visualitzar dades de targetes de facturació, transferir la propietat d'un servidor o accedir a les aplicacions de desenvolupador. A més, en el moment en què es canvia la contrasenya amb 2FA, Discord revoca automàticament tots els testimonis de sessió emesos anteriorment a tots els dispositius globalment!
Aplicació obligatòria de 2FA en la moderació del servidor: Protecció de la comunitat
Per als propietaris de servidors, la seguretat de la comunitat no pot dependre dels hàbits individuals d'OpSec dels moderadors voluntaris. Discord proporciona als administradors un commutador de política per a tot el servidor: «Requisit de 2FA per a la moderació». Quan s'activa, qualsevol membre del personal que no tingui el 2FA activat al seu compte personal veurà revocats els seus permisos elevats directament a la passarel·la (gateway).
| Capacitat de moderació protegida | Risc sense 2FA obligatori | Mitigació amb 2FA obligatori |
|---|---|---|
| Expulsar membres / Bandejar membres | El compte del moderador compromès executa scripts automatitzats per bandejar tota la comunitat massivament | L'API de Discord rebutja les sol·licituds que no tinguin un testimoni de sessió amb 2FA verificat (HTTP 403 Forbidden) |
| Gestionar canals / Rols | L'atacant esborra canals de xat, destrueix la jerarquia o atorga permisos d'administrador a @everyone | La supressió de canals i la modificació de rols queden completament bloquejades |
| Gestionar missatges (Purgar / Suprimir) | Silenciar usuaris legítims i fixar anuncis fraudulents de phishing | No es permet sense credencials d'autenticació en dos passos verificades |
| Gestionar Webhooks del servidor | Crear webhooks maliciosos disfressats de bots oficials d'anuncis | Requereix una verificació 2FA secundària abans de crear o modificar punts finals (endpoints) |
Com activar el 2FA per a la moderació del servidor:
- Feu clic al nom del vostre servidor a la part superior esquerra i obriu Ajustos del servidor (Server Settings).
- Aneu a Configuració de seguretat (Safety Setup) a la barra lateral esquerra.
- Desplaceu-vos fins a la secció «Requisits de moderació» i activeu «Exigir 2FA per a accions de moderació».
- Introduïu el vostre propi codi TOTP de 6 dígits per confirmar la mesura.
Nota: El propietari del servidor ha de tenir el 2FA personal activat prèviament; en cas contrari, Discord impedeix activar aquest paràmetre.
Configuració pas a pas de 2FA a Discord (Autenticador TOTP)
Discord s'adhereix estrictament a l'estàndard TOTP (Time-Based One-Time Password) de l'RFC 6238. És totalment interoperable amb qualsevol aplicació d'autenticació estàndard (com ara Google Authenticator, Microsoft Authenticator, Aegis, 2FAS, Bitwarden i autenticadors web que funcionen al client com 2FA-Tool.com).
Accedir als ajustos de seguretat del compte
Feu clic a la icona d'engranatge a la cantonada inferior esquerra del client de Discord per accedir als Ajustos d'usuari i, a continuació, aneu a El meu compte.
Fer clic a «Activa l'autenticació en dos passos»
A la secció «Contrasenya i autenticació», feu clic al botó blau Activa l'autenticació en dos passos. Quan se us demani, torneu a introduir la vostra contrasenya actual de Discord per verificar la propietat del compte.
Escanegar el codi QR o desar la clau secreta Base32
Apareixerà un quadre de diàleg amb un codi QR. Si feu servir una aplicació mòbil, escanegeu el codi de barres. Si el configureu en una estació de treball o en un magatzem en fred (cold storage), feu clic a «o introdueix la clau» per veure la clau secreta Base32 en brut de 16 caràcters. Copieu i deseu sempre aquesta clau secreta en un gestor de contrasenyes xifrat!
otpauth://totp/Discord:alex%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=Discord
Introduir el testimoni TOTP de 6 dígits per activar
Comproveu el vostre autenticador per obtenir el nou codi de verificació de 6 dígits generat, enganxeu-lo a la casella d'activació de Discord i feu clic a Activa. La protecció en dos passos s'aplicarà immediatament.
Codis de còpia de seguretat de 8 dígits: El salvavides definitiu
Immediatament després de l'activació, Discord mostrarà un quadre de diàleg que us instarà a visualitzar i descarregar els vostres codis de còpia de seguretat de 8 dígits. No desar aquests codis és la causa més freqüent de pèrdua permanent de comptes entre els usuaris de Discord.
Sota el marc operatiu oficial de Confiança i Seguretat (Trust & Safety) de Discord, el personal d'atenció al client té totalment prohibit desactivar o ometre manualment el 2FA de qualsevol compte d'usuari. Fins i tot si presenteu documents d'identitat oficials, justificants de pagament de targetes vinculades o control sobre el correu electrònic original de registre, els tiquets d'assistència que demanen eliminar el 2FA reben un rebuig automàtic. Si perdeu tant l'autenticador com els codis de còpia de seguretat, el compte serà irrecuperable de manera permanent.
Característiques tècniques dels codis de còpia de seguretat de Discord:
- Estructura: Formatats com a 10 cadenes alfanumèriques individuals de 8 caràcters (p. ex.,
a1b2-c3d4o89ab12cd). - Cicle de vida d'un sol ús: Cada codi de còpia funciona com un testimoni consumible d'un sol ús. Un cop utilitzat per autenticar-se, es marca com a consumit i s'invalida de forma permanent.
- Capacitat de regeneració: Els usuaris poden generar un lot nou de 10 codis de còpia de seguretat en qualsevol moment des dels Ajustos d'usuari. Fer-ho revoca immediatament qualsevol codi no utilitzat dels lots anteriors.
Tres regles d'or per a l'emmagatzematge segur dels codis de còpia de seguretat:
- Caixa forta de contrasenyes xifrada: Deseu-los dins d'un gestor de contrasenyes xifrat (Bitwarden, 1Password, KeePassXC) protegit amb biometria mestra.
- Emmagatzematge físic en paper: Imprimiu o anoteu a mà els codis i guardeu-los al costat de documents oficials en un calaix o caixa forta segura.
- Mai no els deseu en captures de pantalla al núvol o missatges de xat: Eviteu desar captures de pantalla no xifrades a la galeria mòbil, ja que les sincronitzacions de fotos al núvol són vulnerables a filtracions de credencials.
Autenticació de còpia de seguretat per SMS: Utilitat vs. riscos de SIM Swap
Un cop configurat el TOTP, Discord ofereix un mecanisme opcional de recuperació anomenat «Activa l'autenticació de còpia de seguretat per SMS». En la modelització d'amenaces de ciberseguretat, utilitzar els SMS de la xarxa mòbil com a factor d'autenticació requereix una anàlisi rigorosa de costos i beneficis.
✅ Avantatge operatiu: Recuperació ràpida
Si el vostre telèfon pateix una fallada greu de maquinari o cau a l'aigua, però podeu passar ràpidament la targeta SIM a un altre dispositiu (o obtenir un duplicat de SIM de la vostra operadora), podreu rebre un codi temporal d'accés per SMS sense haver de buscar els codis de còpia en paper físic.
❌ Vulnerabilitat: SIM Swap i intercepció
Els SMS no tenen xifratge criptogràfic i són susceptibles a la intercepció mitjançant el protocol SS7, empleats deslleials d'operadores i atacs d'enginyeria social de SIM Swap (on l'atacant es fa passar per vós per suplantar el vostre número de telèfon). Els administradors de servidors destacats i els líders de comunitats cripto són objectius habituals d'atacs dirigits de duplicat de SIM.
Per als usuaris estàndard, la còpia de seguretat per SMS ofereix una solució d'emergència acceptable, sempre que s'activi un PIN de la targeta SIM per evitar el robatori físic de la targeta. Per als fundadors de servidors, administradors i comptes que constitueixen un objectiu d'alt valor, desactiveu completament la còpia de seguretat per SMS i confieu exclusivament en claus de seguretat de maquinari + codis de còpia de seguretat físics.
Claus de seguretat de maquinari (FIDO2 / YubiKey) i claus d'accés (Passkeys)
D'acord amb el marc modern WebAuthn / FIDO2, Discord admet claus de seguretat de maquinari (com ara Yubico YubiKey, Google Titan) i claus d'accés biomètriques (Apple Touch ID / Face ID, Windows Hello).
Per què les claus de maquinari derroten el phishing per servidor intermediari invers:
Els codis TOTP estàndard de 6 dígits són vulnerables a kits de pesca (phishing) per servidor intermediari invers (reverse-proxy) en temps real (com ara Evilginx2). Si un usuari introdueix les seves credencials i el codi TOTP en un domini fals (p. ex., discord-nitro-gift.org), el servidor intermediari intercepta el testimoni de 6 dígits i l'intercanvia immediatament amb els servidors d'API autèntics de Discord.
En canvi, les claus de maquinari WebAuthn vinculen criptogràficament la signatura del desafiament amb l'origen del domini exacte del navegador (discord.com). Si el domini no coincideix ni que sigui en un sol caràcter, la negociació criptogràfica s'avorta, neutralitzant l'atac de phishing directament a la capa de maquinari.
Aneu a Ajustos d'usuari -> El meu compte -> Claus de seguretat -> Feu clic a Registra una clau de seguretat. Connecteu la vostra YubiKey a un port USB disponible, toqueu el contacte metàl·lic i assigneu-li una etiqueta descriptiva. Recomanem registrar almenys dues claus físiques (Clau principal + Clau de reserva segura fora de línia).
Manual de resolució de problemes i resposta a incidents
Escenari 1: Buc d'error «Codi de dos factors no vàlid»
Aquest error és causat de manera gairebé unànime per la desincronització del rellotge del dispositiu (desviació temporal / Time Drift). Com que el TOTP de l'RFC 6238 depèn de la marca de temps Unix actual exacta, una desviació de només 30 segons entre el vostre dispositiu i els rellotges atòmics de referència fa que el codi generat correspongui a la finestra temporal anterior o posterior.
Solució: Al vostre telèfon intel·ligent, aneu als paràmetres del sistema i activeu «Data i hora automàtiques (protocol NTP de xarxa)». A Google Authenticator per a Android, toqueu Menú -> Ajustos -> Correcció de l'hora per als codis -> Sincronitza ara.
Escenari 2: Pèrdua del dispositiu autenticador: com aplicar els codis de còpia de seguretat
1. A la pantalla d'inici de sessió de Discord, introduïu el vostre correu electrònic i contrasenya habituals.
2. Quan aparegui el formulari per introduir el TOTP de 6 dígits, feu clic a «Utilitza un codi de còpia de seguretat» situat sota el formulari.
3. Enganxeu un dels vostres codis preservats de 8 dígits (p. ex., abcd-1234).
4. Un cop hàgiu iniciat la sessió, aneu immediatament a Ajustos d'usuari, desactiveu el 2FA anterior i configureu el vostre nou dispositiu de substitució.
Escenari 3: Protocol d'actuació davant la sospita de programari maliciós o segrest de testimonis (Token Hijacking)
Si observeu activitat desconeguda de missatges directes, incorporacions a servidors no autoritzades o sospiteu de l'execució de programari maliciós al vostre ordinador, executeu aquest protocol d'emergència immediatament:
- Canvieu la contrasenya del compte immediatament: Aneu a Ajustos d'usuari -> El meu compte -> Canvia la contrasenya. En l'arquitectura de servidors de Discord, un canvi de contrasenya invalida automàticament tots els testimonis de sessió actius a nivell global.
- Revoqueu les aplicacions autoritzades: A Ajustos d'usuari -> Aplicacions autoritzades, desautoritzeu tots els bots i serveis web de tercers que no reconegueu.
- Tanqueu les sessions actives dels dispositius: A Ajustos d'usuari -> Dispositius, reviseu les sessions actives i feu clic a «Tanca la sessió a tots els altres dispositius».
- Desinfecteu l'estació de treball: Executeu una anàlisi antimalware fora de línia, elimineu
%APPDATA%\Discordi torneu a instal·lar el client d'escriptori oficial.
Preguntes freqüents (FAQ)
El 2FA de Discord em protegeix contra la pesca de regals de Discord Nitro? ▼
El 2FA proporciona una resistència estructural fonamental, però no és una solució màgica contra l'execució de programari maliciós local. Si un executable maliciós tipus «reclamador de Nitro» s'executa a l'ordinador i extreu el testimoni de sessió actiu directament de la memòria, l'atacant eludeix el formulari d'inici de sessió inicial. No obstant això, el 2FA impedeix que l'atacant pugui alterar el vostre correu electrònic, contrasenya o dades de facturació.
Puc calcular testimonis 2FA de Discord amb l'autenticador en línia de 2FA-Tool? ▼
Sí. Discord segueix estrictament les especificacions estàndard TOTP de l'RFC 6238 (HMAC-SHA1, finestra de 30 segons, 6 dígits decimals). Podeu introduir la clau secreta Base32 a 2FA-Tool.com per calcular codis de verificació en temps real de manera 100% local a la memòria aïllada (sandbox) del navegador, sense cap transmissió de dades per la xarxa.
L'equip de suport de Discord pot desbloquejar el meu compte si perdo tant el telèfon com els codis de còpia de seguretat? ▼
No. Sota la política global de seguretat de Discord, els agents d'atenció al client tenen prohibit, tant tècnicament com administrativament, desactivar el 2FA. Sense el vostre autenticador, la còpia per SMS o un codi de reserva de 8 dígits no utilitzat, és absolutament impossible restablir l'accés sota cap circumstància.
Quina relació hi ha entre els testimonis de bots (Bot Tokens) i el 2FA del compte? ▼
El 2FA del compte protegeix l'accés al Portal de Desenvolupadors de Discord. És obligatori disposar de 2FA per generar testimonis de bots i activar intents privilegiats de passarel·la. No obstant això, el testimoni del bot en si és una clau d'API estàtica. Si es filtra en un repositori públic de GitHub, els atacants poden manipular el bot directament sense passar pel 2FA fins que regenereu el testimoni al portal de desenvolupadors.
Proveu la vostra clau secreta 2FA de Discord fora de línia
Genereu codis de verificació TOTP estàndard de 6 dígits a l'instant amb la Web Crypto API del W3C. Sense transmissions al servidor, compatible fora de línia i amb seguretat garantida.