O Discord corta ligações com o software de verificação apoiado por Peter Thiel após seu código ser encontrado ligado a esforços de vigilância dos EUA

A plataforma de comunicação Discord está sob fogo após a descoberta de que o seu software de verificação de identidade, Persona Identities, tinha código frontend acessível na internet aberta e em servidores governamentais.

Vídeo Recomendado

Quase 2.500 ficheiros acessíveis foram encontrados num ponto final autorizado pelo governo dos EUA, apontaram os investigadores no X. Os ficheiros mostravam que a Persona realizava verificações de reconhecimento facial contra listas de vigilância e filtrava utilizadores com base em listas de pessoas politicamente expostas.

Além de verificar a idade do utilizador, os investigadores descobriram que a Persona realiza 269 verificações distintas, incluindo triagens por “mídia adversa” em 14 categorias diferentes, como terrorismo e espionagem. Depois, atribui pontuações de risco e similaridade às informações do utilizador.

E as informações estavam abertamente disponíveis. “Nem precisámos escrever ou executar uma única exploração, toda a arquitetura estava à porta,” escreveram os investigadores no seu blog, acrescentando que encontraram 53 megabytes de dados num ponto final do Federal Risk and Authorization Management Program (FedRAMP) que também “marca relatórios com nomes de código de programas de inteligência ativos.”

Desde então, o Discord anunciou que está a cortar relações com a Persona. O software de IA, parcialmente financiado pela Founders Fund, firma de capital de risco do cofundador da Palantir, Peter Thiel, continua a fornecer serviços de verificação de idade para a OpenAI, Lime e Roblox.

Tanto a Persona como o Discord confirmaram à Fortune que a parceria durou menos de um mês e foi posteriormente dissolvida. Segundo o Discord, apenas um pequeno número de utilizadores participou neste teste, no qual qualquer informação submetida poderia ser armazenada por até sete dias antes de ser apagada.

Erros na reformulação da segurança do Discord

Esta não é a primeira vez que um fornecedor externo é questionado por manipular mal informações sensíveis de utilizadores do Discord, que é popular entre gamers, estudantes, influenciadores, profissionais de tecnologia e outras comunidades.

No ano passado, hackers acederam às IDs governamentais de mais de 70.000 pessoas que cumpriram os requisitos de verificação de idade.

Numa declaração de 9 de outubro de 2025, a empresa afirmou que o ataque não foi uma violação do Discord, mas sim de um fornecedor de serviços externo, a 5CA. O Discord afirmou que a violação afetou apenas utilizadores que comunicaram com a equipa de Apoio ao Cliente ou de Confiança e Segurança.

“No Discord, proteger a privacidade e segurança dos nossos utilizadores é uma prioridade máxima. Por isso, é importante sermos transparentes com eles sobre eventos que impactam as suas informações pessoais,” acrescentou a declaração. Os utilizadores afetados receberam um email se as suas IDs governamentais, endereços IP ou dados de faturação e empresariais limitados fossem divulgados.

E, no início deste mês, o Discord enfrentou uma reação quase imediata após anunciar que todas as contas passariam a ter configurações de segurança para adolescentes por padrão. Utilizadores que quisessem aceder a funcionalidades adicionais teriam de verificar a sua idade usando a Persona.

“Implementar configurações padrão para adolescentes globalmente reforça a arquitetura de segurança existente do Discord,” afirmou Savannah Badalich, Chefe de Política de Produto do Discord. A empresa “continuará a trabalhar com especialistas em segurança, formuladores de políticas e utilizadores do Discord para apoiar o bem-estar significativo e a longo prazo.”

No entanto, após os utilizadores apontarem rapidamente a violação de dados de outubro, o Discord alterou a declaração no dia seguinte para esclarecer que a verificação de idade permaneceria opcional, a menos que os utilizadores desejassem aceder a servidores e canais com restrição de idade.

O Discord afirmou que poderia determinar a idade da maioria dos utilizadores usando as “informações que já possuímos.” A maioria não precisaria fazer upload de IDs governamentais e poderia optar por selfies em vídeo.

“Oferecemos várias opções de privacidade através de parceiros confiáveis,” dizia a adenda, acrescentando que “as digitalizações faciais nunca deixam o seu dispositivo. O Discord e os nossos fornecedores parceiros nunca as recebem.”

Qualquer documento de identificação carregado no Discord seria enviado aos fornecedores terceiros da plataforma e rapidamente apagado. “Na maioria dos casos, imediatamente após a confirmação da idade,” dizia a declaração.

“Os IDs são usados apenas para determinar a sua idade e depois são apagados,” continuou. “O Discord só recebe a sua idade — nada mais. A sua identidade nunca é associada à sua conta.”

No entanto, uma versão do FAQ do Discord sobre políticas de verificação de idade, que foi posteriormente apagada, parece contradizer as afirmações da empresa sobre quanto tempo os IDs governamentais são armazenados pelo fornecedor terceiro, neste caso, a Persona.

“Importante: Se estiver localizado no Reino Unido, pode fazer parte de um experimento onde as suas informações serão processadas por um fornecedor de verificação de idade, a Persona,” lê-se numa versão arquivada do site. “As informações que submeter serão armazenadas temporariamente por até 7 dias, depois serão apagadas. Para verificação de documentos de identidade, todos os detalhes são borrados, exceto a sua foto e data de nascimento, de modo a usar apenas o que é realmente necessário para a verificação de idade.”

Persona fica com dados pessoais

O CEO e cofundador da Persona, Rick Song, disse à Fortune que os ficheiros não eram uma vulnerabilidade, mas sim, informações de frontend acessíveis publicamente. “O que foi encontrado foram ficheiros não comprimidos de um frontend que já está em todos os dispositivos,” afirmou, acrescentando que essa informação está disponível no centro de ajuda da empresa e na documentação da API. “Não acho que ter ficheiros não comprimidos online seja bom,” continuou, mas acrescentou que a informação encontrada pelo investigador é a versão não comprimida do mapa de origem comprimido da empresa online.

“Creio que isto parece mais assustador do que realmente é, mas… internamente, nem considerámos isto uma vulnerabilidade importante.”

Song ainda considera a parceria entre a Persona e o Discord um sucesso. “A performance do produto foi incrivelmente boa,” disse o CEO à Fortune. “A razão pela qual podemos afirmar que todos os dados foram imediatamente redigidos é porque os dados foram redigidos; já tinham sido redigidos durante o processamento. Não foi devido à rescisão do contrato que os apagámos. São apagados imediatamente após a verificação do indivíduo.”

Song negou qualquer ligação com a Palantir, ICE ou o governo, mas afirmou que a empresa está a obter autorização FedRAMP. “Estamos a tentar obter o FedRAMP e o objetivo disso é garantir a segurança da força de trabalho,” que usa um conjunto completamente diferente de informações para confirmar quem é um funcionário, em comparação com um utilizador numa plataforma social a verificar a sua idade.

Em relação às 269 verificações, estas são todas opções oferecidas pela Persona, disse Song, mas isso não significa que um cliente precise de todas elas. Na prática, as necessidades de uma plataforma social para verificação de idade não são as mesmas de uma empresa a fazer uma verificação de antecedentes.

Durante o fim de semana, Song negou que a Persona — que também oferece soluções de Conheça o Seu Cliente (KYC) e Anti-Lavagem de Dinheiro (AML) — ligue biometria facial a registros financeiros ou bases de dados de forças policiais. Song publicou capturas de ecrã de uma troca de emails com a investigadora “Celeste” no X, afirmando que a implicação de alguma ligação entre a Persona, a Palantir e a ICE levou a ameaças contra membros da empresa.

“Não temos qualquer relação com a ICE, Palantir,” dizia a captura de ecrã do email. O CEO acrescentou que alguns membros da empresa que receberam críticas são recém-formados ou pessoas que se juntaram recentemente. “Não acho que estas pessoas devam ser o foco da ira pública, e se alguém deve, sou eu.”

Song também foi atacado por não ter informações de identificação pessoal online. Um utilizador no X publicou uma captura de ecrã do perfil do CEO no LinkedIn, mostrando que Song tinha um selo de verificação, mas sem foto de perfil. O Persona gere as solicitações de verificação de identidade do LinkedIn.

Em resposta, Song escreveu: “Estou verificado. Essa é toda a questão. É distópico que queiramos que as pessoas se facedox a todos para serem reais online. É irónico que quem publica sobre privacidade queira que eu me facedox a todos.”

Junte-se a nós na Fortune Workplace Innovation Summit de 19 a 20 de maio de 2026, em Atlanta. A próxima era de inovação no local de trabalho já começou — e o antigo manual está a ser reescrito. Neste evento exclusivo e de alta energia, os líderes mais inovadores do mundo irão reunir-se para explorar como IA, humanidade e estratégia convergem para redefinir, mais uma vez, o futuro do trabalho. Inscreva-se já.