Med over 200 millioner månedlige aktive brugere inden for gaming, Web3-fællesskaber og open source-software er Discord et yderst attraktivt mål for cyberkriminelle. Da Discords desktopklient er bygget på Electron-frameworket og gemmer sessionstokens i en lokal LevelDB-database, kan standardiseret malware (såsom PirateStealer, W4SP Stealer og Hazard Grabber) stjæle logins på brøkdele af et sekund.
Genererer 6-cifrede dynamiske koder hvert 30. sekund. Forhindrer credential stuffing og uautoriserede logins.
Et sæt af 10 engangskoder. Den eneste gyldige redningsvej, hvis telefonen eller godkendelsesappen mistes.
Kræver 2FA for alle administrative handlinger (sparke, udelukke, slette kanaler) i serverens team.
Trusselsbillede: Hvorfor Discord-konti stjæles
For at opbygge et solidt forsvar må man forstå, hvordan rigtige Discord-angreb foregår. En udbredt misforståelse blandt almindelige brugere er, at "en lang og kompleks adgangskode er tilstrækkelig." I det moderne trusselsbillede er brute-force-angreb for længst overhalet af tre langt farligere angrebsmetoder:
1. Discord Token Grabbers & infostealere
Discords desktopklient opbevarer brugerens aktive sessionstoken i en ukrypteret eller let afkrypteret databasefil placeret i %APPDATA%\Discord\Local Storage\leveldb på Windows (og ~/Library/Application Support/discord på macOS). Hvis en intetanende bruger downloader et program maskeret som en spilbeta, et stemmefilter eller et bot-script, udtrækker malwaren dette token og sender det via en Discord-webhook til angriberen på få sekunder. Med dette token kan angriberen indsætte det direkte i sin egen browser og omgå login-skærmen fuldstændigt.
2. QR-kode phishing-kampagner (Nitro-svindel)
Svindlere opretter falske hjemmesider, der lokker med "3 måneders gratis Discord Nitro" eller "Serverbekræftelse". Den viste QR-kode er i virkeligheden en aktiv Discord "Log ind med QR-kode"-udfordring genereret af angriberens server. Når offeret scanner koden med sin mobile Discord-app og godkender anmodningen, logger de i virkeligheden angriberen ind på deres konto.
3. Fjendtlig overtagelse af servere via kompromitterede moderatorer
I store fællesskaber behøver angriberen blot at overtage én enkelt moderators konto uden 2FA. Angriberen udnytter derefter moderatorens rettigheder til at slette informationskanaler, masseudelukke medlemmer og udsende falske phishing-links til tusindvis af brugere på én gang.
Selvom et stjålet token giver angriberen mulighed for visse API-kald, kræver Discord altid 2FA-godkendelse ved kritiske kontoændringer: ændring af primær e-mailadresse, nulstilling af adgangskode, visning af betalingsoplysninger, overdragelse af serverejerskab eller adgang til udviklerportalen. Vigtigst af alt: I samme øjeblik adgangskoden ændres med 2FA, tilbagekalder Discord automatisk samtlige tidligere udstedte sessionstokens globalt!
Tvungen 2FA for servermoderatorer: Beskyt dit fællesskab
Serverejere bør ikke lade serverens sikkerhed afhænge af de frivillige moderatorers personlige sikkerhedsvaner. Discord tilbyder en central kontakt: "Krav om 2FA for moderation". Når denne indstilling slås til, vil moderatorer uden aktiv 2FA på deres personlige konto automatisk få frataget deres administrative rettigheder på API-niveau.
| Beskyttet moderationshandling | Risiko uden tvungen 2FA | Beskyttelse med tvungen 2FA |
|---|---|---|
| Sparke ud / Udelukke medlemmer (Ban) | Kompromitteret konto kører scripts for at udelukke hele fællesskabet | Discords API afviser anmodninger uden bekræftet 2FA-session (HTTP 403 Forbidden) |
| Administrere kanaler / Roller | Angriber sletter tekstkanaler, ødelægger roller eller giver @everyone adminrettigheder | Sletning af kanaler og redigering af roller blokeres fuldstændigt |
| Administrere beskeder (Slet / Fastgør) | Sletning af advarsler og fastgørelse af ondsindede phishing-beskeder | Handlingen tillades ikke uden godkendt 2FA-session |
| Administrere serverens webhooks | Oprettelse af falske webhooks udklædt som officielle nyheds-bots | Kræver sekundær 2FA-bekræftelse før oprettelse eller ændring af webhooks |
Sådan slås 2FA-krav for moderatorer til:
- Klik på serverens navn øverst til venstre og åbn Serverindstillinger.
- Gå til Sikkerhedsopsætning i venstre sidebjælke.
- Find sektionen "Moderationskrav", og slå "Kræv 2FA for moderatorhandlinger" til.
- Indtast din egen 6-cifrede TOTP-kode for at bekræfte ændringen.
Bemærk: Serverens ejer skal have aktiveret 2FA på sin egen konto først, ellers vil Discord forhindre aktivering af denne indstilling.
Trin-for-trin opsætning af Discord 2FA (TOTP-godkenderapp)
Discord følger nøje den officielle RFC 6238 TOTP-standard (Time-Based One-Time Password). Tjenesten fungerer derfor fejlfrit sammen med alle standard godkendelsesapps (herunder Google Authenticator, Microsoft Authenticator, Aegis, 2FAS, Bitwarden samt sikre offline-apps som 2FA-Tool.com).
Åbn dine brugerindstillinger
Klik på tandhjulet i nederste venstre hjørne af Discord for at åbne Brugerindstillinger, og vælg derefter Min konto.
Klik på "Aktivér totrinsgodkendelse"
Under sektionen "Adgangskode og godkendelse" klikker du på den blå knap Aktivér totrinsgodkendelse. Indtast din nuværende adgangskode for at bekræfte dit ejerskab af kontoen.
Scan QR-koden eller gem Base32-nøglen
Der vises et vindue med en QR-kode. Hvis du bruger en mobilapp, scanner du koden. Hvis du foretager opsætningen på computer eller i en password manager, klikker du på "eller indtast nøglen" for at se den 16-cifrede hemmelige Base32-nøgle. Gem altid denne nøgle sikkert i en krypteret password manager!
otpauth://totp/Discord:alex%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=Discord
Indtast den 6-cifrede TOTP-kode for at aktivere
Find den nyoprettede 6-cifrede kode i din godkendelsesapp, indsæt den i aktiveringsfeltet i Discord, og klik på Aktivér. Totrinsgodkendelse er nu øjeblikkeligt slået til.
8-cifrede backupkoder: Den ultimative redningskrans
Umiddelbart efter aktiveringen åbner Discord en dialog, der opfordrer dig til at se og hente dine 8-cifrede backupkoder. At glemme at gemme disse koder er den hyppigste årsag til, at brugere mister deres Discord-konti for evigt.
I henhold til Discords officielle Trust & Safety-retningslinjer har Discords kundeservicemedarbejdere strengt forbud mod manuelt at deaktivere eller omgå 2FA på brugerkonti. Selv hvis du fremlægger pas, bevis for betalinger med dit kreditkort eller fuld kontrol over den oprindelige e-mailadresse, vil supportanmodninger om 2FA-fjernelse blive automatisk afvist. Hvis du mister både din godkenderapp og dine backupkoder, er kontoen uigenkaldeligt tabt.
Egenskaber ved Discords backupkoder:
- Opbygning: Består af et sæt på 10 alfanumeriske koder på hver 8 tegn (f.eks.
a1b2-c3d4eller89ab12cd). - Éngangsbrug: Hver kode fungerer som en engangsbillet. Så snart en kode er brugt til et login, bliver den ugyldig.
- Ny generering: Du kan til enhver tid generere 10 nye koder under Brugerindstillinger. Dette vil omgående gøre alle tidligere uudnyttede koder ugyldige.
Tre vigtige regler for opbevaring af koder:
- Krypteret adgangskodemanager: Gem dem i en betroet password manager (Bitwarden, 1Password, KeePassXC) bag biometrisk beskyttelse.
- Fysisk kopi på papir: Udskriv eller nedskriv koderne og læg dem sammen med dit pas eller andre vigtige papirer.
- Aldrig som ukrypterede screenshots: Gem aldrig koder som almindelige skærmbilleder i fotogalleriet, da cloud-fototjenester jævnligt udsættes for lækager.
SMS-reservegodkendelse: Praktisk fordel over for SIM-swap-risiko
Når TOTP er konfigureret, tilbyder Discord en valgfri gendannelsesmetode: "Aktivér SMS-reservegodkendelse". Inden for cybersikkerhed kræver brugen af SMS altid en grundig afvejning af fordele og risici:
✅ Praktisk fordel: Hurtig genopretning
Hvis din smartphone går i stykker eller tabes i vandet, men du hurtigt kan flytte dit SIM-kort til en lånetelefon (eller få et nyt SIM-kort hos teleselskabet), kan du modtage en loginkode via SMS uden at skulle lede efter papir-backupkoder.
❌ Sårbarhed: SIM-swapping og aflytning
SMS-beskeder er ukrypterede og modtagelige for SS7-netværksaflytning, korrupte teleansatte og social engineering mod teleselskaber (SIM-swapping). Administratorer af populære servere og Web3-projekter er ofte mål for målrettede SIM-swap-angreb.
For almindelige brugere er SMS-backup en udmærket nødløsning – forudsat at du beskytter dit SIM-kort med en PIN-kode hos dit mobilselskab. For serverejere, moderatorer og værdifulde konti anbefales det at deaktivere SMS-backup helt og i stedet stole udelukkende på fysiske sikkerhedsnøgler og papir-backupkoder.
Fysiske sikkerhedsnøgler (FIDO2 / YubiKey) & Passkeys
I tråd med den moderne WebAuthn / FIDO2-standard understøtter Discord fysiske hardwarenøgler (såsom Yubico YubiKey og Google Titan) samt biometriske Passkeys (Apple Touch ID / Face ID, Windows Hello).
Hvorfor hardwarenøgler blokerer reverse-proxy-phishing:
Almindelige 6-cifrede TOTP-koder kan opsnappes af avancerede phishing-værktøjer i realtid (såsom Evilginx2). Hvis en bruger indtaster sit password og sin TOTP-kode på et falsk domæne (f.eks. discord-nitro-gave.org), stjæler proxyen koden og videresender den straks til Discords officielle servere.
WebAuthn-hardwarenøgler binder derimod udfordringens kryptografiske signatur direkte til browserens nøjagtige domæne (discord.com). Hvis domænet afviger med blot ét tegn, afbrydes processen automatisk, hvilket neutraliserer phishing-forsøget på hardwareniveau.
Gå til Brugerindstillinger -> Min konto -> Sikkerhedsnøgler -> Klik på Registrer en sikkerhedsnøgle. Sæt din YubiKey i en USB-port, berør nøglens metalkontakt, og giv den et genkendeligt navn. Vi anbefaler altid at registrere mindst to fysiske nøgler (en primær nøgle og en reservenøgle).
Fejlfinding & nødberedskab ved sikkerhedsbrud
Situation 1: Fejlmeddelelsen "Ugyldig totrinskode" gentager sig
Denne fejl skyldes næsten altid tidsforskydning på enheden (Time Drift). Da RFC 6238 TOTP er baseret på det nøjagtige Unix-tidsstempel, vil selv en afvigelse på 30 sekunder mellem din telefon og atomuret betyde, at koden genereres til det forkerte tidsvindue.
Løsning: Gå til telefonens systemindstillinger og slå "Automatisk dato og tid (netværkstid)" til. I Google Authenticator på Android trykkes på Menu -> Indstillinger -> Tidskorrektion for koder -> Synkroniser nu.
Situation 2: Telefonen er mistet – sådan bruges backupkoder
1. Indtast din normale e-mail og adgangskode på Discords login-skærm.
2. Når feltet til den 6-cifrede TOTP-kode vises, klikkes på "Brug en backupkode" nedenunder.
3. Indsæt en af dine gemte 8-cifrede backupkoder (f.eks. abcd-1234).
4. Når du er logget ind, går du straks til Brugerindstillinger, deaktiverer den gamle 2FA og opsætter den på din nye enhed.
Situation 3: Mistanke om malware eller token-kapring – nødprocedure
Hvis du opdager mistænkelige beskeder sendt fra din konto, uønskede servermedlemskaber eller frygter, at du har kørt et skadeligt program, skal du straks udføre disse fire trin:
- Skift din adgangskode omgående: Gå til Brugerindstillinger -> Min konto -> Skift adgangskode. I Discords backend ugyldiggør et kodeordsskift automatisk samtlige aktive tokens i hele verden.
- Fjern autoriserede apps: Gå til Brugerindstillinger -> Autoriserede apps, og slet alle ukendte bots og tredjepartstjenester.
- Afbryd aktive enheder: Gå til Brugerindstillinger -> Enheder, gennemse de aktive sessioner og klik på "Log ud af alle andre enheder".
- Rens computeren: Kør en komplet antivirus-scanning, slet mappen
%APPDATA%\Discord, og geninstaller den officielle klient.
Ofte stillede spørgsmål (FAQ)
Beskytter Discord 2FA mod falske Discord Nitro-gaveprogrammer? ▼
2FA giver væsentlig beskyttelse, men det kan ikke forhindre konsekvenserne af at afvikle lokal malware. Hvis et ondsindet program kører på din pc og stjæler dit aktive sessionstoken direkte fra computerens hukommelse, kan angriberen overtage sessionen uden login. Men 2FA forhindrer angriberen i at ændre din adgangskode, e-mailadresse eller stjæle dine betalingskortoplysninger.
Kan jeg beregne Discord 2FA-koder med 2FA-Tool online godkenderen? ▼
Ja. Discord overholder standard RFC 6238 TOTP-specifikationen (HMAC-SHA1, 30-sekunders interval, 6 decimalcifre). Du kan indtaste din hemmelige Base32-nøgle på 2FA-Tool.com og beregne dine bekræftelseskoder 100 % lokalt i browseren uden nogen netværksafsendelse.
Kan Discords support hjælpe mig, hvis jeg mister både telefon og backupkoder? ▼
Nej. Ifølge Discords officielle globale sikkerhedsregler har supportmedarbejdere hverken de tekniske værktøjer eller tilladelse til at fjerne 2FA. Uden din godkenderapp, din SMS-backup eller en ubrugt 8-cifret backupkode kan adgangen under ingen omstændigheder genskabes.
Hvad er sammenhængen mellem bot-tokens og personlig 2FA? ▼
Personlig 2FA beskytter adgangen til Discord Developer Portal. Du skal have aktiveret 2FA for at oprette bot-tokens og aktivere priviligerede gateway intents. Men selve bot-tokenet er en statisk API-nøgle. Hvis nøglen lækkes på GitHub, kan angribere styre botten direkte uden om 2FA, indtil du genererer et nyt token i udviklerportalen.
Test din hemmelige Discord 2FA-nøgle offline
Generer standard 6-cifrede TOTP-koder øjeblikkeligt med W3C Web Crypto API. Ingen servertransmissioner, offline-kompatibel og fuldstændig privat.