S více než 200 miliony aktivních uživatelů měsíčně v herních komunitách, Web3 projektech i vývojářských týmech představuje Discord prvořadý cíl pro kyberzločince. Jelikož desktopový klient Discordu běží na frameworku Electron a ukládá autentizační tokeny otevřené v lokální databázi LevelDB, běžný malware (např. PirateStealer, W4SP Stealer a Hazard Grabber) dokáže tyto tokeny odcizit během několika milisekund.
Generuje 6místné dynamické kódy každých 30 sekund. Chrání před credential stuffingem a neoprávněným přihlášením.
Sada 10 jednorázových kódů. Jediná oficiální cesta k obnově při ztrátě mobilního telefonu či autentizátoru.
Vynucuje 2FA pro všechny správcovské akce (vyhazování, bany, mazání kanálů) celého týmu moderátorů.
Model hrozeb: Proč jsou účty na Discordu kradeny
K vybudování efektivní obrany je nutné pochopit mechanismy reálných útoků na účty Discordu. Mezi běžnými uživateli přetrvává mýtus, že „silné heslo se speciálními znaky plně postačuje“. V moderním prostředí kybernetických hrozeb však tradiční hádání hesel ustoupilo třem mnohem nebezpečnějším vektorům:
1. Discord Token Grabbery a zlodějský malware (Info-Stealers)
Desktopový klient uchovává aktivní token relace uživatele v nešifrované nebo snadno dešifrovatelné lokální databázi v adresáři %APPDATA%\Discord\Local Storage\leveldb ve Windows (a ~/Library/Application Support/discord na macOS). Pokud neopatrný uživatel spustí soubor vydávaný za beta verzi hry, hlasový filtr nebo bota, škodlivý kód tento token vyextrahuje a přes Discord Webhook jej během sekund odešle útočníkovi. Ten pak token vloží do svého prohlížeče a okamžitě přistoupí k účtu bez nutnosti zadávat heslo.
2. Phishingové kampaně s QR kódy (Lákadla na Discord Nitro)
Útočníci vytvářejí podvodné stránky slibující „3 měsíce Discord Nitro zdarma“ nebo „Ověření na serveru“. Zobrazený QR kód je ve skutečnosti autentizační výzvou funkce „Přihlásit se pomocí QR kódu“, kterou inicializoval server útočníka. Jakmile oběť kód naskenuje svou mobilní aplikací Discord a potvrdí přihlášení, nevědomky autorizuje novou desktopovou relaci pro útočníka.
3. Nepřátelské převzetí serverů přes kompromitaci moderátorů
Pokud je ve velké komunitě napaden účet jediného moderátora bez dvoufázového ověření, útočník zneužije jeho práva k okamžitému smazání kanálů s oznámeními, hromadnému zabanování členů a rozeslání podvodných kryptoměnových odkazů tisícům uživatelů současně.
Přestože ukradený token relace umožňuje útočníkovi provádět omezená volání API v rámci existující relace, Discord vyžaduje potvrzení přes 2FA pro jakékoli vysoce privilegované změny: změnu e-mailové adresy, reset hesla, zobrazení uložených platebních karet, převod vlastnictví serveru nebo přístup do vývojářského portálu. Navíc v okamžiku, kdy je heslo změněno za přítomnosti 2FA, Discord automaticky a globálně zneplatní všechny dříve vydané tokeny relací na všech zařízeních na světě!
Vynucení 2FA pro moderátory serveru: Ochrana komunity
Pro majitele serverů nemůže bezpečnost komunity záviset na individuálních návycích dobrovolných moderátorů. Discord proto vybavil administrátory serverovou politikou: „Požadavek 2FA pro moderátorské akce“. Po její aktivaci budou jakémukoli členovi týmu bez aktivního 2FA odebrána privilegovaná oprávnění přímo na úrovni API brány.
| Chráněná moderátorská akce | Riziko bez vynucení 2FA | Ochrana s vynuceným 2FA |
|---|---|---|
| Vyhodit / Zabanovat členy | Napadnutý účet správce spustí skript a hromadně zabanuje celou komunitu | API Discordu zamítne požadavek bez platného 2FA tokenu (HTTP 403 Forbidden) |
| Spravovat kanály / role | Útočník smaže kanály, zničí hierarchii nebo udělí práva administrátora všem (@everyone) | Mazání kanálů i úpravy rolí jsou zcela zablokovány |
| Spravovat zprávy (Mazat cizí zprávy) | Umlčování legitimních uživatelů a připínání podvodných odkazů | Nelze provést bez sekundárního ověření |
| Spravovat webhooky serveru | Vytvoření záškodnických webhooků maskovaných za oficiální oznamovací roboty | Vyžaduje sekundární ověření před vytvořením či změnou koncového bodu |
Jak aktivovat vynucení 2FA pro moderátory:
- Klikněte na název svého serveru vlevo nahoře a otevřete Nastavení serveru.
- V levém menu přejděte do sekce Nastavení bezpečnosti (Safety Setup).
- Přejděte k sekci „Požadavky na moderování“ a zapněte přepínač „Vyžadovat 2FA pro akce moderátorů“.
- Zadejte svůj vlastní 6místný TOTP kód k potvrzení nastavení.
Poznámka: Majitel serveru musí mít aktivní osobní 2FA předem; jinak Discord aktivaci tohoto nastavení nedovolí.
Konfigurace Discord 2FA krok za krokem (Autentizátor TOTP)
Discord striktně dodržuje standard RFC 6238 TOTP (Time-Based One-Time Password). Je plně interoperabilní s libovolnou běžnou autentizační aplikací (Google Authenticator, Microsoft Authenticator, Aegis, 2FAS, Bitwarden i webovým generátorem 2FA-Tool.com).
Přejděte do nastavení zabezpečení účtu
Klikněte na ikonu ozubeného kola v levém dolním rohu aplikace Discord pro vstup do Uživatelského nastavení a vyberte kartu Můj účet.
Klikněte na „Aktivovat dvoufázové ověření“
V sekci „Heslo a ověřování“ klikněte na výrazné modré tlačítko Aktivovat dvoufázové ověření. Budete vyzváni k opětovnému zadání svého hesla pro potvrzení vlastnictví účtu.
Naskenujte QR kód nebo uložte Base32 klíč
Zobrazí se dialog s QR kódem. V mobilní aplikaci kód naskenujte. Pokud provádíte nastavení na počítači nebo v trezoru hesel, klikněte na „nebo zadejte klíč“ a zobrazí se 16místný Base32 tajný klíč. Tento klíč si bezpečně uschovejte do šifrovaného správce hesel!
otpauth://totp/Discord:alex%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=Discord
Zadejte 6místný kód k aktivaci
Otevřete svůj autentizátor, zadejte vygenerovaný 6místný kód do pole v Discordu a klikněte na Aktivovat. Dvoufázová ochrana je tímto okamžitě uvedena v platnost.
8místné záložní kódy: Poslední záchranný člun (Backup Codes)
Okamžitě po aktivaci Discord nabídne zobrazení a stažení 8místných záložních kódů. Podcenění uložení těchto kódů je nejčastější příčinou trvalé ztráty účtu na Discordu.
Podle oficiálních bezpečnostních postupů týmu Trust & Safety mají pracovníci zákaznické podpory Discordu přísně zakázáno ručně vypínat nebo obcházet 2FA u jakéhokoli uživatelského účtu. I kdybyste předložili občanský průkaz, doklady o platbách kreditní kartou nebo prokázali plnou kontrolu nad původním e-mailem, žádost o odstranění 2FA bude automaticky zamítnuta. Pokud ztratíte telefon i záložní kódy, k účtu se již nikdy nedostanete.
Technické vlastnosti záložních kódů Discordu:
- Struktura: Formátováno jako sada 10 samostatných 8místných alfanumerických řetězců (např.
a1b2-c3d4nebo89ab12cd). - Jednorázová platnost: Každý záložní kód funguje jako jednorázová vstupenka. Jakmile je jednou použit k přihlášení, stává se neplatným.
- Přegenerování kódů: V Uživatelském nastavení můžete kdykoli vygenerovat novou sadu 10 kódů. Tím se všechny dřívější nepoužité kódy okamžitě zneplatní.
Tři železná pravidla pro uložení záložních kódů:
- Šifrovaný správce hesel: Uložte je do správce hesel (Bitwarden, 1Password, KeePassXC) chráněného silným hlavním heslem a biometrikou.
- Fyzická tištěná kopie: Vytiskněte je nebo zapište na papír a uložte k důležitým osobním dokladům v uzamykatelné zásuvce.
- Nikdy neukládejte nešifrované snímky obrazovky: Vyvarujte se ukládání screenshotů do fotogalerie v mobilu – synchronizace fotografií do cloudu bývá častým terčem úniků.
Záložní autentizace přes SMS: Přínosy vs. rizika SIM swapu
Po nastavení TOTP nabízí Discord volitelnou funkci „Povolit ověřování pomocí SMS“. Z hlediska kybernetické bezpečnosti vyžaduje použití mobilních SMS pečlivé zvážení výhod a rizik.
✅ Praktická výhoda: Rychlá záchrana
Pokud se vám telefon rozbije nebo spadne do vody, ale SIM kartu můžete vložit do jiného zařízení (nebo si nechat u operátora vystavit novou), obdržíte přihlašovací kód přes SMS, aniž byste museli hledat papírové záložní kódy.
❌ Bezpečnostní riziko: SIM Swap a odposlech
Protokol SMS není šifrovaný a je náchylný k odposlechu přes slabiny v síti SS7, sociálnímu inženýrství u operátorů a útokům typu SIM Swap (kdy útočník přesvědčí operátora k převodu vašeho čísla). Významní administrátoři a tvůrci bývají častým terčem.
Pro běžné uživatele představuje SMS záloha přijatelný záchranný most, pokud máte u svého mobilního operátora nastaven silný PIN kód k SIM kartě proti krádeži. Pro majitele velkých serverů, administrátory a významné účty doporučujeme SMS zálohu zcela vypnout a spoléhat se výhradně na hardwarové bezpečnostní klíče a fyzické záložní kódy.
Hardwarové bezpečnostní klíče (FIDO2 / YubiKey) a Passkeys
V souladu s moderními standardy WebAuthn / FIDO2 podporuje Discord hardwarové bezpečnostní klíče (např. Yubico YubiKey, Google Titan) i biometrické Passkeys (Apple Touch ID / Face ID, Windows Hello).
Proč hardwarové klíče porážejí phishing přes reverzní proxy:
Standardní 6místné kódy TOTP mohou být zachyceny pokročilými phishingovými nástroji v reálném čase (např. Evilginx2). Pokud uživatel zadá své údaje a TOTP kód na podvržené doméně (např. discord-nitro-gift.org), proxy server kód zachytí a obratem odešle skutečným serverům Discordu.
Naproti tomu hardwarové klíče WebAuthn kryptograficky vážou podpis výzvy na přesný původ domény v prohlížeči (discord.com). Pokud se doména liší třeba jen o jediný znak, kryptografické ověření se přeruší, což phishing spolehlivě zastaví na hardwarové úrovni.
Přejděte do Uživatelské nastavení -> Můj účet -> Bezpečnostní klíče -> klikněte na Zaregistrovat bezpečnostní klíč. Vložte svůj YubiKey do USB portu, dotkněte se zlaté plošky a klíč pojmenujte. Doporučujeme zaregistrovat alespoň dva fyzické klíče (primární klíč + záložní klíč v trezoru).
Řešení potíží a manuál reakce na bezpečnostní incidenty
Scénář 1: Smyčka s chybou „Neplatný dvoufázový kód“
Tato chyba je v drtivé většině případů způsobena desynchronizací času na zařízení (časový posun – Time Drift). Protože algoritmus RFC 6238 TOTP vychází z přesného unixového času, odchylka pouhých 30 sekund mezi telefonem a atomovými hodinami způsobí, že telefon generuje kód pro jiné časové okno.
Náprava: V nastavení telefonu zapněte „Automatické datum a čas (podle sítě)“. V Google Authenticatoru na Androidu klepněte na Menu -> Nastavení -> Korekce času pro kódy -> Synchronizovat.
Scénář 2: Ztráta zařízení s autentizátorem – jak použít záložní kódy
1. Na přihlašovací obrazovce Discordu zadejte svůj e-mail a heslo.
2. Až se objeví výzva k zadání 6místného kódu TOTP, klikněte na odkaz „Použít záložní kód“ pod formulářem.
3. Zadejte jeden ze svých uložených 8místných kódů (např. abcd-1234).
4. Po úspěšném přihlášení ihned přejděte do Uživatelského nastavení, vypněte staré 2FA a nakonfigurujte své nové zařízení.
Scénář 3: Podezření na malware a únos tokenu relace
Pokud zaznamenáte neobvyklou aktivitu ve zprávách, připojení k neznámým serverům nebo máte podezření na spuštění malwaru, neprodleně proveďte tento nouzový postup:
- Okamžitě změňte heslo k účtu: Přejděte do Nastavení -> Můj účet -> Změnit heslo. V architektuře Discordu změna hesla okamžitě zruší všechny aktivní tokeny relací globálně.
- Odeberte autorizované aplikace: V Nastavení -> Autorizované aplikace odstraňte všechny neznámé boty a webové integrace.
- Ukončete aktivní zařízení: V Nastavení -> Zařízení zkontrolujte seznam přihlášených zařízení a klikněte na „Odhlásit všechna ostatní zařízení“.
- Dezinfikujte počítač: Proveďte offline kontrolu antivirem, smažte složku
%APPDATA%\Discorda nainstalujte oficiálního klienta znovu.
Často kladené otázky (FAQ)
Chrání mě 2FA před podvodnými dárky Discord Nitro? ▼
2FA poskytuje zásadní vrstvu ochrany, ale neřeší situaci, kdy na svém počítači spustíte přímo škodlivý program. Pokud malware získá přístup k paměti běžícího klienta Discordu a ukradne token relace, útočník obejde přihlašovací obrazovku. Dvoufázové ověření mu však zabrání ve změně e-mailu, hesla nebo platebních karet.
Lze kódy pro Discord 2FA počítat pomocí online nástroje 2FA-Tool? ▼
Ano. Discord přísně dodržuje standardní specifikaci RFC 6238 TOTP (HMAC-SHA1, 30sekundové okno, 6 číslic). Můžete zadat Base32 tajný klíč do 2FA-Tool.com a generovat ověřovací kódy v reálném čase 100% lokálně v prohlížeči bez jakéhokoli přenosu po síti.
Může podpora Discordu odemknout můj účet, když ztratím telefon i záložní kódy? ▼
Ne. Podle bezpečnostní politiky Discordu nemají operátoři podpory technickou ani administrativní možnost odebrat 2FA z uživatelského účtu. Bez autentizátoru, SMS zálohy nebo platného 8místného záložního kódu nelze přístup za žádných okolností obnovit.
Jaký je vztah mezi tokeny botů a dvoufázovým ověřením účtu? ▼
2FA na účtu chrání přístup k Vývojářskému portálu Discordu. Abyste mohli vygenerovat token bota nebo povolit privilegované gateway intenty, musíte mít aktivní 2FA. Samotný token bota je však statický API klíč – pokud unikne např. na GitHub, útočníci mohou bota ovládat bez nutnosti 2FA, dokud token v portálu nepřegenerujete.
Otestujte svůj tajný 2FA klíč pro Discord offline
Generujte standardní 6místné ověřovací kódy TOTP okamžitě pomocí W3C Web Crypto API. Nulový přenos na server, plná offline funkčnost a stoprocentní bezpečnost.