3. Remover bots e webhooks desconhecidos
Confira nas configurações do servidor, em Integrações, quais bots e webhooks existem. Remova todo bot que ninguém da equipe adicionou de propósito e apague os webhooks criados durante o ataque. Pelos webhooks dá para continuar postando spam mesmo sem bot.
O Rewind pode cuidar disso sozinho a partir do momento em que é ativado. Com Remover na hora bots com permissões perigosas, o Lizbot expulsa um bot com permissões perigosas adicionado por uma conta não liberada e age contra essa conta. Com Retirar na hora as permissões perigosas do incidente, o Lizbot desfaz as permissões que foram concedidas durante o incidente.
Como reconhecer webhooks comprometidos e limitar a permissão para criá-los está no guia Webhook do Discord usado indevidamente.
4. Fechar o servidor
Enquanto você arruma, nenhuma conta nova deve entrar e ninguém deve continuar mandando spam nos canais:
- Nas configurações do servidor, em Convites, apague os links suspeitos ou todos os ativos. Em um incidente, o Rewind pode pausar todos os convites automaticamente, se você quiser; para isso o Lizbot precisa da permissão "Gerenciar servidor".
/channel lockdown start sobe o nível de verificação temporariamente para Alto, por padrão por 15 minutos, e com a opção minutos por até 24 horas. Para isso o Lizbot também precisa de "Gerenciar servidor"; /channel lockdown end encerra o bloqueio antes./channel lockall bloqueia, depois de uma confirmação, todos os canais de texto para os membros comuns. /channel unlockall desfaz isso.
Como agir contra ondas de entradas vindas de fora está explicado em detalhe no guia sobre proteção contra raids.
5. Proteger a conta sequestrada
Enquanto o invasor estiver na conta da pessoa da equipe, ele pode voltar assim que alguém devolver os cargos. Por isso a pessoa afetada deve, de preferência em um dispositivo limpo:
- trocar a senha, se preciso pelo "Esqueceu sua senha?" na tela de login
- nas configurações de usuário, em Dispositivos, desconectar todas as sessões desconhecidas
- ativar ou configurar de novo a autenticação de dois fatores
- em Aplicativos autorizados, remover tudo o que ela não reconhece
- verificar como aconteceu: um suposto teste de jogo, um QR code para "verificar", um programa baixado
Se a pessoa não consegue mais entrar na conta, só o suporte do Discord ajuda. Todos os passos estão no guia Conta do Discord hackeada. Só devolva os cargos de equipe quando a pessoa tiver de novo o controle seguro da conta.
6. Registrar o estrago
Agora que ninguém está mais destruindo nada, você ganha uma visão geral. Anote a partir do registro de auditoria o que foi apagado ou alterado: canais, cargos, permissões, banimentos, expulsões, emojis. O Discord guarda as entradas do registro de auditoria só por 45 dias, então em um incidente grande tire prints logo.
O Lizbot ajuda a registrar em dois lugares:
- Incidentes do Rewind: no painel, em Moderação, na aba Rewind, cada incidente aparece com um resumo, como "8 canais apagados, 3 cargos apagados, 14 banimentos". Cada incidente traz um retrato do que a conta apagou ou alterou.
- Registros: se os registros estavam ativos, você encontra nos seus canais de registro os canais e cargos apagados e alterados, mudanças de cargos dos membros, banimentos, expulsões e exclusões de mensagens em massa. No plano Free, os registros ficam 14 dias no painel, no Pro 90 dias, no Studio 365 dias.
Confira também no painel o Registro de auditoria do Lizbot. Ali aparece cada alteração nas configurações do Lizbot, inclusive se o invasor desligou o AutoMod ou mudou um canal de registro, por exemplo.
O Rewind é o caminho mais rápido de volta, se estava ativado antes do ataque. Abaixo do alerta no Discord e em cada incidente no painel você encontra Desfazer. O Lizbot então recria exatamente os canais e cargos apagados, com as permissões e o mais perto possível da posição antiga, desfaz as mudanças de permissão e devolve os cargos retirados. Se você quiser, o Lizbot também apaga canais, cargos e webhooks criados durante o incidente.
O Lizbot só revoga banimentos se você quiser isso explicitamente: no Discord com Desfazer e desbanir, no painel com a opção Revogar banimento dos usuários banidos. Se faltar algum detalhe em um incidente, o Lizbot completa a lacuna com o último backup ou, a partir do Pro, com os Retratos da estrutura, que o Lizbot cria diariamente no Pro e a cada 6 horas no Studio.
O que nem o Rewind consegue: as mensagens de canais apagados somem do Discord e só voltam se um backup as tiver salvado. Membros expulsos precisam entrar de novo por conta própria. Webhooks apagados recebem endereços novos, e você precisa reconectar os serviços ligados a eles. Cargos com permissões de equipe o Lizbot não devolve automaticamente.
Detecção, contramedida, alerta e pausa dos convites estão em todos os planos. O desfazer completo existe a partir do Pro.
Sem Pro ou sem o Rewind ativado, um backup ajuda. No painel, abra Backups, escolha o último backup de antes do ataque e clique em Restaurar. No Discord isso funciona com /server backup restore.
Escolha o modo Só o que falta (no Discord, faltante). Ele recria os cargos e canais apagados e deixa intacto tudo o que ainda existe. Completo volta o servidor inteiro ao estado do backup e serve para uma reconstrução total, não para o conserto depois de um nuke.
Antes, arraste o cargo do Lizbot o mais alto possível na lista de cargos. O Lizbot não consegue criar nem alterar cargos acima do cargo mais alto dele. No plano Free você pode guardar 2 backups, no Pro 10 e no Studio 50. A partir do Pro o Lizbot faz backups automáticos, e no Studio também das mensagens, se você quiser. Todos os detalhes estão no guia Fazer backup do servidor Discord.
Se não existir nenhum backup, sobra reconstruir à mão. Um modelo de servidor pode dar a você uma estrutura básica pronta para adaptar.
Se você não tem backup, o guia Recuperar canal ou cargo apagado explica o que ainda dá para salvar.
9. Conferir e revogar banimentos
Um nuke costuma mirar de propósito os membros ativos e a equipe. Nas configurações do servidor, abra a lista de Banimentos e compare com o registro de auditoria. Tudo o que o invasor baniu você deve revogar.
Com muitos banimentos, use a Ação em massa do Lizbot: no painel, em Casos, escolha a ação Desbanir, cole até 200 IDs de usuário, um por linha ou separados por vírgula, informe um motivo como "Nuke em 24/10" e confirme com a palavra "DESBANIR". Para copiar IDs de usuário, ative no Discord, nas configurações, em Avançado, o Modo desenvolvedor; o passo a passo está no guia Copiar IDs no Discord.
Ao contrário, a ação em massa com Banir funciona para contas que entraram durante o ataque e ajudaram no spam. Cada entrada é salva como um caso próprio, com motivo. Revogar um banimento não traz ninguém de volta automaticamente, porque um bot não consegue convidar ninguém. Depois, mande um link de convite novo para as pessoas afetadas.
Como encontrar e desbanir usuários na lista de banimentos, inclusive pelo celular, está no guia Revogar banimento no Discord.
10. Avisar os membros
Silêncio deixa todo mundo inseguro. Assim que o servidor estiver de pé de novo, poste uma mensagem curta e objetiva em um canal de anúncios:
- o que aconteceu, sem detalhes que ensinem imitadores
- que o servidor está seguro de novo e o que vocês restauraram
- que ninguém deve clicar em links do período do ataque, caso mensagens de golpe tenham sido enviadas
- que os banidos foram desbanidos e como podem voltar
Se o invasor mandou mensagens diretas com links de golpe para os membros pela conta sequestrada, esse aviso é ainda mais importante. As mensagens de golpe que sobraram você deve denunciar ao Discord.
Lições do incidente
Um hack é chato, mas mostra exatamente onde o seu servidor estava aberto. Estes pontos fecham a maioria das brechas:
- Dar permissões com cuidado: administrador só para uma ou duas pessoas. Moderadores precisam poder banir, expulsar e aplicar castigo, mas não gerenciar cargos nem gerenciar o servidor. Como é uma estrutura segura está no guia Configurar cargos no Discord.
- 2FA obrigatória para moderação: o Discord pode exigir que todos com permissões de moderação tenham a 2FA ativada. Como ativar a 2FA obrigatória para moderação está no guia próprio.
- Ativar o Rewind: ele vem desativado por padrão. Escolha uma Sensibilidade (Rígida, Normal ou Tranquila), uma Contramedida contra a conta e um Canal de alerta. Ative Alertar também sobre o dono do servidor, para o caso de a sua própria conta ser tomada um dia. Como a proteção funciona em detalhe está no guia sobre proteção anti-nuke.
- Backups regulares: crie um backup pelo menos antes de cada reforma, a partir do Pro automaticamente.
- Conferir bots: dê aos bots só as permissões de que eles precisam e coloque os bots que fazem limpezas regulares em IDs de usuários liberados, para que o Rewind não os confunda com invasores.
- Treinar a equipe: quem sabe como são testes de jogo falsos, logins por QR code e presentes de Nitro clica menos neles. Dicas para a sua equipe estão no guia sobre a equipe de moderação.
Lista de verificação
- conta responsável encontrada e sem permissões
- bots e webhooks desconhecidos removidos
- convites apagados ou pausados, servidor em bloqueio se necessário
- conta sequestrada com senha nova, 2FA e dispositivos desconectados
- estrago anotado a partir do registro de auditoria, dos incidentes e dos registros
- canais e cargos de volta pelo Rewind ou por backup
- banimentos injustos revogados
- membros avisados
- Rewind ativado, backup atualizado
Erros comuns
- Reconstruir na hora: enquanto o invasor tiver permissões, ele apaga tudo de novo. Primeiro parar, depois arrumar.
- Devolver cargos cedo demais: se alguém da equipe recebe os cargos de volta antes de a conta estar protegida, o ataque recomeça.
- Completo em vez de Só o que falta: o modo Completo apaga canais e cargos antes. Depois de um nuke, Só o que falta quase sempre basta.
- Cargo do Lizbot muito baixo: aí o Lizbot não consegue intervir nem restaurar cargos. O cargo precisa ficar lá em cima.
- Deixar passar bots desconhecidos: um bot esquecido com permissão de administrador deixa o servidor vulnerável de novo na hora.
- Criar o backup só depois do ataque: aí ele salva apenas o estado destruído.
