DEF CON 33 Recon Village - Discord OSINT - Zach Malinich

Discord 在開源情報中仍被嚴重低估。講者首先介紹了四個基礎資訊蒐集方法。第一種是利用 Discord 內建搜尋功能，其運作原理類似 Google Dorking，支援多個操作符來精準定位特定用戶與內容。例如在 `from:` 操作符後輸入用戶名，可快速篩選該用戶發送的所有訊息；使用 `has:link` 可找出包含特定連結的訊息。講者舉例說，追踪某人在 Discord 上的 10,000 多條訊息可能很耗時，但透過搜尋操作符可顯著縮小範圍。第二種方法是利用用戶資料中的「連線」功能，它允許用戶將 GitHub、Spotify、Instagram 等外部帳戶連結到 Discord 資料中，這直接暴露了用戶在多個平臺上使用的不同身分與真實名稱。第三種方法是分析伺服器昵稱，用戶在加入遊戲伺服器時可能使用 Xbox 或 PlayStation 用戶名作為昵稱，這些昵稱結合互關伺服器的資訊可推斷真實身分。第四種最強大的方法是分析互關伺服器，講者展示如何透過某人加入的所有伺服器內容（例如網路安全訓練平臺、防禦性安全論壇）來推斷其技能水平與職業方向。

講者特別分析了 Discord 學生中心（Student Hubs）這個功能，它允許擁有 .edu 郵箱的大學生加入校園特定伺服器。通過加入學生中心，講者能夠發現特定大學的所有網路安全相關伺服器，進而對個人資料進行更精細的分類。這啟發他思考：是否可以用「網路安全領域」替代「特定大學」的邏輯，構建一個涵蓋全球安全社群的分析框架。講者的案例研究顯示，透過分析某人在 Cyberwalks Academy、Blue Team Labs Online、Hack the Box 等伺服器的活動，可推斷該人員專注防禦性安全且剛入門或中級水平。

然而，大規模實施這些技術面臨 Discord 服務器上限的瓶頸：免費用戶最多加入 100 個伺服器，Nitro 用戶最多 200 個。為突破此限制，攻擊者轉而開發數據爬蟲。講者披露了三個重要案例。

Spyet 是最早曝光的案例，運行於 2023 年 10 月至 2024 年 4 月間，訊息數達 40 億條，用戶 60 萬人，伺服器 14,000 個。其最大的賣點是能捕捉已刪除的訊息，講者驗證此功能確實有效——他在五秒內刪除的訊息仍被爬蟲記錄。Spyet 最終因多個原因被關閉：社群進行反向 OSINT 識別出創辦人身分、違反 GDPR 且儲存未成年人對話、平臺初期目的是騷擾特定政治立場與跨性別人士。

SearchCord 規模遠大於 Spyet，擁有 64 億條訊息、285 TB 附件、95,000 個伺服器的追踪數據，最早的訊息溯及 2015 年。與 Spyet 的商業模式不同，SearchCord 的目標是解決 AI 內容泛濫問題，透過將 Discord 公開伺服器的訊息編入搜尋引擎，以替代傳統論壇。它透過進入 Discord 發現頻道的伺服器預覽模式進行爬取，無需手動加入。雖然只運行 3 天（5 月 20∼23 日）就被關閉，但創辦人後來揭露該項目自 2022∼2023 年即已啟動，經歷 2∼3 年的祕密開發。

講者發現了第三個未公開的爬蟲，運行方式類似 Spyet 的 botnet 模式，專注遊戲伺服器但近期轉向 Discord 訊息蒐集，已造成至少 3 人遭人肉搜索，現已遷移至 DOS Guard 等基礎設施提供者。該爬蟲的統計數據持續增長：從 7 月的 80 萬訊息、5,000 伺服器增長至最近的 150 萬訊息、6,000 伺服器、4,100 萬檔案、42 TB 存儲。