3. Rimuovere bot e webhook sconosciuti
Controlla nelle impostazioni del server, in Integrazioni, quali bot e webhook ci sono. Rimuovi ogni bot che nessuno dello staff ha aggiunto di proposito ed elimina i webhook creati durante l'attacco. Con i webhook si può continuare a pubblicare spam anche senza bot.
Rewind può occuparsene da solo dal momento in cui è attivo. Con Rimuovi subito i bot con autorizzazioni pericolose, Lizbot espelle un bot con permessi pericolosi aggiunto da un account non autorizzato e interviene sull'account. Con Togli subito le autorizzazioni pericolose dell'incidente, Lizbot annulla i permessi aggiunti durante l'incidente.
Come riconoscere i webhook compromessi e limitare il permesso per crearli lo spiega la guida Webhook di Discord usato in modo improprio.
4. Chiudere il server
Mentre sistemi, non devono entrare nuovi account e nessuno deve continuare a fare spam nei canali:
- Nelle impostazioni del server, in Inviti, elimina i link sospetti o tutti quelli attivi. In caso di incidente, se vuoi, Rewind mette in pausa tutti gli inviti in automatico; per farlo Lizbot ha bisogno del permesso "Gestisci server".
/channel lockdown start porta temporaneamente il livello di verifica su Alto, per impostazione predefinita per 15 minuti, e con l'opzione minuti fino a 24 ore. Anche qui Lizbot ha bisogno di "Gestisci server"; /channel lockdown end termina il lockdown prima./channel lockall blocca, dopo una conferma, tutti i canali testuali per i membri normali. /channel unlockall li sblocca di nuovo.
Come difenderti dalle ondate di ingressi dall'esterno lo spiega nel dettaglio la guida sulla protezione anti-raid.
5. Mettere al sicuro l'account rubato
Finché l'attaccante è nell'account del membro dello staff, può tornare appena qualcuno gli ridà i ruoli. Per questo la persona colpita dovrebbe, meglio se da un dispositivo pulito:
- cambiare la password, se serve con "Password dimenticata?" nella pagina di accesso
- nelle impostazioni utente, in Dispositivi, disconnettere tutte le sessioni sconosciute
- attivare o configurare di nuovo l'autenticazione a due fattori
- in App autorizzate, rimuovere tutto quello che non riconosce
- capire come è successo: un finto test di un gioco, un codice QR per "verificarsi", un programma scaricato
Se la persona non riesce più a entrare nel suo account, aiuta solo il supporto di Discord. Tutti i passaggi sono nella guida Account Discord hackerato. Ridai i ruoli dello staff solo quando la persona ha di nuovo il pieno controllo dell'account.
6. Registrare i danni
Ora che nessuno distrugge più nulla, fai il punto della situazione. Annota dal registro attività cosa è stato eliminato o modificato: canali, ruoli, permessi, ban, espulsioni, emoji. Discord conserva le voci del registro attività solo per 45 giorni, quindi in un incidente grosso fai subito degli screenshot.
Lizbot ti aiuta a registrare in due punti:
- Incidenti di Rewind: nella dashboard, in Moderazione, nella scheda Rewind, ogni incidente compare con un riepilogo, per esempio "8 canali eliminati, 3 ruoli eliminati, 14 ban". Ogni incidente contiene un'istantanea di ciò che l'account ha eliminato o modificato.
- Log: se i log erano attivi, trovi nei tuoi canali di log i canali e i ruoli eliminati e modificati, le modifiche ai ruoli dei membri, i ban, le espulsioni e le eliminazioni di messaggi in massa. Nel piano Free i log restano nella dashboard 14 giorni, nel Pro 90 giorni, nello Studio 365 giorni.
Controlla anche nella dashboard il Registro attività di Lizbot. Lì trovi ogni modifica alle impostazioni di Lizbot, anche se l'attaccante ha per esempio disattivato l'AutoMod o cambiato un canale di log.
7. Annullare l'incidente con Rewind (Pro)
Rewind è la strada più veloce per tornare indietro, se era attivo prima dell'attacco. Sotto l'allarme in Discord e in ogni incidente nella dashboard trovi Annulla. Lizbot ricrea allora esattamente i canali e i ruoli eliminati, con i loro permessi e il più vicino possibile alla posizione originale, annulla le modifiche ai permessi e restituisce i ruoli tolti. Se vuoi, Lizbot elimina anche canali, ruoli e webhook creati durante l'incidente.
Lizbot revoca i ban solo se lo chiedi esplicitamente: in Discord con Annulla e revoca i ban, nella dashboard con l'opzione Revoca il ban agli utenti bannati. Se in un incidente manca un dettaglio, Lizbot colma il vuoto con l'ultimo backup o, dal Pro, con le Istantanee della struttura, che Lizbot crea ogni giorno nel Pro e ogni 6 ore nello Studio.
Cosa non può fare nemmeno Rewind: i messaggi dei canali eliminati spariscono da Discord e tornano solo se un backup li ha salvati. I membri espulsi devono rientrare da soli. I webhook eliminati ottengono nuovi indirizzi, quindi devi ricollegare i servizi connessi. I ruoli con permessi da staff Lizbot non li restituisce in automatico.
Rilevamento, contromisura, allarme e pausa degli inviti sono inclusi in tutti i piani. L'annullamento completo c'è dal Pro.
8. Ripristinare con un backup
Senza Pro o senza Rewind attivo ti aiuta un backup. Nella dashboard apri Backup, scegli l'ultimo backup prima dell'attacco e clicca su Ripristina. In Discord si fa con /server backup restore.
Scegli la modalità Solo ciò che manca (in Discord mancante). Ricrea i ruoli e i canali eliminati e lascia intatto tutto ciò che c'è ancora. Completo riporta tutto il server allo stato del backup ed è pensato per una ricostruzione totale, non per riparare dopo un nuke.
Prima trascina il ruolo di Lizbot il più in alto possibile nell'elenco dei ruoli. Lizbot non può creare né modificare ruoli sopra il suo ruolo più alto. Nel piano Free puoi salvare 2 backup, nel Pro 10 e nello Studio 50. Dal Pro Lizbot fa i backup in automatico, nello Studio, se vuoi, anche dei messaggi. Tutti i dettagli sono nella guida Fare il backup del server Discord.
Se non c'è nessun backup, resta la ricostruzione a mano. Un modello di server può darti una struttura di base pronta da adattare.
Se non hai un backup, la guida Recuperare un canale o un ruolo eliminato spiega cosa si può ancora salvare.
9. Controllare e revocare i ban
Un nuke colpisce spesso di proposito i membri attivi e lo staff. Nelle impostazioni del server apri l'elenco dei Ban e confrontalo con il registro attività. Tutto quello che l'attaccante ha bannato dovresti revocarlo.
Con molti ban usi l'Azione di massa di Lizbot: nella dashboard, in Casi, scegli l'azione Sbanna, incolli fino a 200 ID utente, uno per riga o separati da virgole, indichi un motivo come "Nuke del 24/10" e confermi con la parola "SBANNA". Per copiare gli ID utente attiva in Discord, nelle impostazioni, in Avanzate, la Modalità sviluppatore; il passo per passo è nella guida Copiare gli ID su Discord.
Al contrario, l'azione di massa con Banna funziona per gli account entrati durante l'attacco che hanno partecipato allo spam. Ogni voce viene salvata come caso separato con il suo motivo. Revocare un ban non riporta indietro nessuno in automatico, perché un bot non può invitare nessuno. Dopo, manda alle persone coinvolte un nuovo link d'invito.
Come trovare gli utenti bannati nell'elenco dei ban e sbannarli, anche dal telefono, lo spiega la guida Revocare un ban su Discord.
10. Avvisare i membri
Il silenzio crea insicurezza. Appena il server è di nuovo in piedi, pubblica un messaggio breve e oggettivo in un canale degli annunci:
- cosa è successo, senza dettagli che facciano da istruzioni per gli imitatori
- che il server è di nuovo sicuro e cosa avete ripristinato
- che nessuno deve cliccare sui link del periodo dell'attacco, se sono stati inviati messaggi truffa
- che le persone bannate sono state sbannate e come possono tornare
Se l'attaccante ha inviato ai membri messaggi diretti con link truffa dall'account rubato, questo avviso è ancora più importante. I messaggi truffa rimasti dovresti segnalarli a Discord.
Lezioni dall'incidente
Un hack è fastidioso, ma mostra esattamente dove il tuo server era scoperto. Questi punti chiudono la maggior parte delle falle:
- Dare i permessi con parsimonia: amministratore solo per una o due persone. I moderatori hanno bisogno di bannare, espellere e mettere in timeout, ma non di gestire i ruoli o gestire il server. Come appare una struttura sicura lo spiega la guida Configurare i ruoli su Discord.
- 2FA obbligatoria per la moderazione: Discord può richiedere che chiunque abbia permessi di moderazione abbia attivato la 2FA. Come attivare la 2FA obbligatoria per la moderazione lo trovi nella guida dedicata.
- Attivare Rewind: di base è disattivato. Scegli una Sensibilità (Severa, Normale o Rilassata), una Contromisura contro l'account e un Canale di allarme. Attiva Allarme anche per il proprietario del server, nel caso un giorno venga violato il tuo stesso account. Come funziona la protezione nel dettaglio lo spiega la guida sulla protezione anti-nuke.
- Backup regolari: crea un backup almeno prima di ogni ristrutturazione, dal Pro in automatico.
- Controllare i bot: dai ai bot solo i permessi che servono e inserisci i bot che fanno pulizia regolarmente in ID utente esclusi, così Rewind non li scambia per attaccanti.
- Formare lo staff: chi sa riconoscere finti test di giochi, accessi tramite codice QR e regali Nitro ci clicca meno. Consigli per il tuo staff sono nella guida sul team di moderazione.
Checklist
- account responsabile trovato e senza permessi
- bot e webhook sconosciuti rimossi
- inviti eliminati o in pausa, server in lockdown se serve
- account rubato con nuova password, 2FA e dispositivi disconnessi
- danni annotati da registro attività, incidenti e log
- canali e ruoli recuperati con Rewind o con un backup
- ban ingiustificati revocati
- membri avvisati
- Rewind attivo, backup aggiornato
Errori comuni
- Ricostruire subito: finché l'attaccante ha i permessi, cancella tutto di nuovo. Prima fermare, poi sistemare.
- Ridare i ruoli troppo presto: se un membro dello staff riottiene i ruoli prima che l'account sia al sicuro, l'attacco ricomincia.
- Completo invece di Solo ciò che manca: la modalità Completo prima elimina canali e ruoli. Dopo un nuke basta quasi sempre Solo ciò che manca.
- Ruolo di Lizbot troppo in basso: allora Lizbot non può né intervenire né ripristinare i ruoli. Il ruolo va messo molto in alto.
- Trascurare i bot sconosciuti: un bot rimasto con permesso di amministratore rende subito il server di nuovo attaccabile.
- Creare il backup solo dopo l'attacco: salva solo lo stato distrutto.
