[資安分析] 002 Discord 帳號被盜怎麼辦？點開圖片就會被盜嗎（事件分析與處理 SOP）

一篇給一般使用者、社群管理員與資安從業人員看的事件分析。本文不教任何攻擊技術，重點放在事件理解、調查思路與防禦處理。

---

一、事件現象：朋友帳號突然開始到處傳奇怪圖片

最近不少 Discord 使用者反映，某一天突然發現自己的帳號「在很多群組裡瘋狂亂傳訊息」，或是收到平常很正常的朋友傳來奇怪訊息。常見症狀大致如下：

• 帳號在多個伺服器（包含遊戲、社團、工作群）以及私訊中大量發送「圖片」「QR code」「短網址」「Nitro 領取連結」「遊戲測試邀請」「投票」「身分驗證」「投資 / 加密貨幣機會」，甚至色情或挑釁性的內容。
• 訊息常常配上一段簡短話術，例如「幫我看一下這個」「這是我新做的圖」「Free Nitro for you」「你被選中參加 Beta」「幫我投票一下」。
• 因為訊息來自朋友或熟人，收件者的戒心會自動降低。即使內容明顯怪異，也常因為「是 OO 傳的」而選擇先點開看一下。

這種模式在資安領域有個比較直觀的描述：利用社交信任鏈擴散的攻擊。攻擊者控制一個帳號之後，並不會立刻換密碼、改頭像、把帳號鎖死，反而會「假裝是原本的本人」，藉著既有的好友關係與共同伺服器，去汙染下一批受害者。Discord 官方在帳號保護指南中也明確點出：被盜帳號可能會直接波及該帳號管理的伺服器，包含被大量踢人、刪除頻道、刪除訊息等行為¹。

---

二、先講結論：通常不是「看圖片就被盜」

很多人第一個直覺是「我是不是點開圖片就中了？」這個擔心可以理解，但從技術上來說，單純看圖通常不會直接導致帳號被盜。

我們可以把行為粗略分成兩類：

低風險行為（一般而言不會直接造成帳號被盜）：

• 在 Discord 訊息列中看到圖片縮圖。
• 單純點開圖片放大觀看。
• 把圖片下載到本機觀看（前提是檔案真的是圖片，且作業系統與看圖軟體沒有未修補的嚴重漏洞）。

高風險行為（這些才是帳號被盜的常見路徑）：

• 拿手機 Discord App 去掃描圖片裡的 QR code。
• 點圖片旁邊的短網址或「假 Discord 登入頁」。
• 下載圖片或訊息附帶的壓縮檔、遊戲安裝包、外掛、破解工具、Mod。
• 執行 .exe、.bat、.cmd、.scr、.ps1 等可執行檔。
• 依照圖片「教學」複製貼上 PowerShell、CMD、終端機指令。
• 在「驗證頁面」上授權陌生的 Discord App 或 OAuth 應用。
• 在假網站上輸入 Discord 帳號、密碼、2FA code。

一句話總結：

圖片通常只是誘餌，真正危險的是後續的登入、掃碼、授權、下載與執行。

換句話說，那張圖往往不是病毒本體，而是「引誘你完成下一步動作」的廣告看板。

---

三、攻擊者為什麼要用被盜帳號傳圖片？

如果只是想騙人點連結，攻擊者直接用陌生帳號群發就好，為什麼要先盜一個帳號、再用那個帳號去傳？因為「來自熟人」這件事本身就是攻擊資源：

1. 被盜帳號比陌生帳號更容易取得信任。 一般使用者對陌生 DM 已經有一定戒心，但對自己加為好友、長期互動的人，會自動把訊息歸類為「應該不是詐騙」。
2. 共同伺服器讓訊息看起來像是「真人推薦」。 在共同興趣的社群裡，看到一位平常會聊天的成員「分享了一張圖」，比看到一個陌生帳號丟連結還要可信得多。
3. 圖片可以承載多種誘餌。 純文字容易被偵測或被使用者警覺，但圖片可以同時擺進 QR code、誘導性話術、看似官方的截圖、「驗證 / 領獎」按鈕，視覺上很像「操作教學」。
4. 降低訊息平台的自動偵測效果。 Discord 與其他平台對短網址、明文釣魚連結都有偵測機制，但純圖片的詐騙內容相對較難被自動過濾。

攻擊者的目標永遠是讓「下一個人」採取下一步：掃碼、點連結、下載檔案、執行指令、批准授權。圖片只是其中一塊磚。

---

四、Discord 帳號常見被盜路徑

以下整理目前公開研究與廠商報告中比較常見的 Discord 帳號被盜方式。實務上，一次事件可能同時牽涉多種路徑，不一定只是其中一種。

1. Token Stealer / Infostealer：不需要你填密碼也能被盜

要理解這條路徑，必須先知道 Discord token 是什麼。

簡單講，Discord token 是你「目前已經登入這個帳號」的通行證。當你成功登入後，Discord 桌面版、網頁版、瀏覽器或手機 App，會在裝置上保存一個 token。之後你每次發送訊息、看頻道、加好友，系統都靠這個 token 驗證「這個人就是本人」，不用每次再重新輸入密碼。

問題來了：如果攻擊者偷到這個 token，他就等於直接拿到一張「已登入」的通行證，不需要你的密碼，甚至在某些情況下能繞過部分傳統登入流程的 2FA 阻擋。Discord 官方在帳號安全文件中也明確提醒：使用者絕對不該把密碼或 token 提供給任何人，包括偽裝成 Discord 員工的對象²。

這就引出一個關鍵類別的惡意程式：Infostealer（資訊竊取程式）。它的工作很單純：感染你的電腦，掃描各種敏感資料，打包送回攻擊者的伺服器。

Palo Alto Networks Unit 42 於 2026 年 1 月公開分析的 VVS Stealer（也寫作 VVS $tealer）就是一個專門針對 Discord 使用者的 Python infostealer，至少從 2025 年 4 月起就在 Telegram 上以惡意程式即服務（Malware-as-a-Service）的型態販售，售價從一週 10 歐元起跳³⁴。它能做的事情，已經遠遠不只是「偷密碼」：

• 直接竊取 Discord token 與帳號資料（帳號設定、付款資訊、好友清單等），透過 Discord API 取得後，再用 webhook 外傳⁵。
• 將惡意 JavaScript 注入 Discord 桌面應用程式（Electron 架構）的本機檔案，建立持久化的監聽：當使用者觀看備援碼、變更密碼、新增付款方式等敏感操作時，就觸發額外的竊取邏輯⁵⁶。
• 廣泛蒐集瀏覽器資料：Chrome、Edge、Brave、Opera、Firefox 等近 20 款瀏覽器的 Cookie、瀏覽歷史、儲存密碼、自動填入欄位、甚至桌面截圖，全部壓縮成 ZIP 後外傳⁶。
• 透過複製檔案到 Windows 啟動資料夾建立開機自動執行，並用假的「Fatal Error」彈窗誘導使用者重開機，重啟後再次運作⁴。

這也是為什麼很多受害者第一時間會說「我沒有上過奇怪網站、也沒有填過任何密碼」，但帳號還是被盜——因為他們可能曾經執行了一個 infostealer，後續的動作完全在背景進行，本人不會看到任何「請輸入密碼」的畫面。

常見的 infostealer 感染來源大致有：

• 朋友傳來「幫我測一下這個遊戲」「Beta 版我做的小遊戲」「給我測一下這個工具」。
• 各種遊戲外掛、Skin Changer、Mod、私服啟動器。
• 破解軟體、序號產生器、Crack、Activator。
• 假冒的 AI 工具、影像工具、效率工具，特別是冒用知名品牌名稱的版本。
• 壓縮檔（zip / rar）內藏可執行檔，圖示偽裝成圖片或文件。
• Fake CAPTCHA / ClickFix 攻擊：受害者被導向看似驗證頁面的網站，頁面會說「請按 Win+R，貼上以下指令完成驗證」，使用者一旦照做，就會直接在自己電腦上跑下一段 PowerShell 下載並執行惡意程式（見下文 Discord 邀請連結劫持案例）。
• 來源不明的瀏覽器擴充套件，特別是要求過多權限的版本。

2. QR Code Login 詐騙：你沒輸入密碼，但你可能批准了登入

Discord 官方提供 QR code login 功能：你在桌面版或網頁版看到一個 QR code，用已登入的手機 Discord App 掃描，並在手機上按下「Log in」確認，就能讓桌面端直接登入，不必輸入密碼或 2FA⁷。這個功能本身設計合理，但攻擊者剛好可以反向利用：

1. 攻擊者在自己的瀏覽器或工具上「召喚出」一張 Discord 登入 QR code。
2. 把這張 QR code 包裝成「免費 Nitro 領取」「伺服器身分驗證」「活動領獎」「解鎖隱藏頻道」等圖片，貼到群組或 DM。
3. 受害者用手機 Discord App 掃描，看到登入確認畫面，但因為前面被誘導「這只是領 Nitro 的步驟」、「這只是驗證」，便按下 Log in。
4. 按下確認的那一刻，攻擊者那邊的瀏覽器就完成登入，整個 session 跟著建立，完全沒有輸入過密碼，也不需要 2FA code。

Discord 官方在 QR Code Login FAQ 中明確警告：「永遠不要批准你自己沒有生成的 QR code 登入。如果你不小心掃描了別人傳來的 QR code、跳出登入確認畫面，應該立刻按 Cancel。如果不小心批准了，最有效的補救動作是馬上更改密碼，這會讓所有裝置強制登出，包括攻擊者的 session」⁷。

Discord 官方的帳號安全指南也特別提到：「Discord 的 QR code 掃描器只用來登入 Discord。掃了惡意 QR code 等於讓攻擊者直接登入你的帳號，繞過密碼與你設定的 2FA」¹。這是 QR code login 詐騙最關鍵也最反直覺的一點。

這個攻擊模式在資安界並非新鮮事，研究人員早在 2023 年就以 Evil QR 等概念工具示範過類似的 QRLJacking 變體攻擊⁸，但因為手法簡單且使用者警覺度低，至今仍很有效。

3. 假 Discord 登入頁與假 Nitro 領取頁

這條路徑比較傳統，但仍然是主力之一。攻擊者會做出在視覺上幾乎與 Discord 官方一致的登入頁面，搭配下列幾種網域偽裝：

• 視覺相似的網域，例如把字母 i 換成 l、把 discord 寫成 diiscord、dlscord 等¹。
• 使用短網址服務（bit.ly、tinyurl 等）遮蔽真實目的網址。
• 包裝成「Discord Nitro 免費領取活動頁」「活動驗證頁」「合作夥伴贈品頁」。

受害者一旦在假頁面輸入帳號、密碼、2FA code，這些資訊就會被即時轉送到攻擊者手上，部分手法甚至能在受害者按下 2FA 確認的那一刻同步完成「真實 Discord 的登入」，把整個 session 接管下來。

Discord 官方在 QR code 詐騙說明文件中也直接提醒：合法的 Discord 登入頁網址會以 discord.com 開頭，其他都應視為釣魚¹。

4. 惡意 OAuth 與 Authorized Apps

Discord 提供 Authorized Apps（已授權應用） 機制，讓你能把自己的 Discord 身分授權給第三方網站或應用程式，例如把 Discord 帳號連動到某個社群網站、某個遊戲統計工具、某個 NFT 平台等。授權的內容可能包含：identify（讀取你的基本資料）、email（讀取你的 Email）、guilds（讀取你加入的伺服器清單）、guilds.join（讓 App 把你加入某個伺服器）等。

問題在於：

• 不一定是「把機器人加進伺服器」才有風險。個人使用者也可以批准 OAuth 授權，給予 App 對自己帳號的特定權限。
• 詐騙者可能把惡意 OAuth 流程包裝成「身分驗證」「Captcha」「領 Nitro」「活動報名」。一旦你按下 Authorize，攻擊者就拿到對應 scope 的存取權。
• 這個授權不會因為你改密碼就自動清除，必須由你主動到 User Settings 中移除。

Check Point Research 在 2025 年揭露的一波大型 Discord 攻擊活動中，攻擊者就是先誘導受害者進入惡意伺服器，再透過一個假冒名為「Safeguard」的驗證 Bot 觸發 OAuth2 流程，把受害者導向偽裝成 Discord 的釣魚網站，最終透過 ClickFix 技巧讓使用者執行 PowerShell 指令，下載並安裝 AsyncRAT 與 Skuld Stealer⁹¹⁰。這波活動同時利用了過期 / 被刪除的 Discord 邀請連結可以被攻擊者重新註冊為 vanity invite 的設計問題，讓散落在論壇、社群、舊文件中的舊邀請連結「靜默地改指到攻擊者的伺服器」⁹。

對使用者而言，定期檢查 User Settings → Authorized Apps 是低成本但容易被忽略的防禦動作。

5. 瀏覽器 Cookie / Session / 儲存密碼外洩

延續第 1 點，infostealer 通常不會只盯著 Discord。一旦電腦中標，攻擊者拿到的是「整台機器的瀏覽器資料」：

• 瀏覽器內建密碼管理器儲存的所有帳密。
• 各網站的 Cookie 與 session（Email、Google、Microsoft、Steam、Facebook、GitHub、購物網站、雲端服務等）。
• 自動填入資料（地址、姓名、信用卡 hint 等）。
• 瀏覽歷史。

對攻擊者而言，這些是「一打開就能用」的成果。配合 session cookie 重放，攻擊者甚至可以直接「不輸入密碼、不輸入 2FA」就登入其他平台的網頁版。

更值得一提的是，研究人員觀察到部分變種已經能夠繞過 Chrome 為了保護儲存資料而引入的 App-Bound Encryption（ABE），利用 ChromeKatz 之類的工具直接從 Chromium 瀏覽器記憶體裡萃取 Cookie⁹。換句話說，「瀏覽器有加密所以沒事」這個想法已經不能再當作擔保。

如果使用者跨平台共用密碼，風險會被進一步放大：一個 Discord 帳號被盜的事件，可能在背後牽涉 5、6 個其他帳號的潛在外洩。

---

五、為什麼「我沒有上奇怪網站填資料」仍然不能排除被盜？

很多人對「被盜」的想像，停留在「我在假網站輸入了帳密」這個畫面。但綜合上面整理的攻擊路徑，可以看出：現代的帳號劫持有太多種方式，不一定會經過「我親自輸入帳密」這一步。

可能的情境包括：

• 偷 token：執行了 infostealer，背景把 Discord token 直接搬走。
• 偷 Cookie / session：瀏覽器資料被竊取後，整個登入狀態被重放。
• 批准 QR code login：自己手動掃了某張 QR、按了 Log in，但以為那只是領 Nitro 或驗證。
• 批准惡意 OAuth：在「驗證頁面」按下 Authorize，沒注意到是把帳號授權給陌生 App。
• 執行惡意檔案：開了一個朋友傳來、自稱遊戲或工具的 .exe。
• 貼上惡意指令：在「Captcha 修復頁」按 Win+R 之後貼上 PowerShell。
• 瀏覽器擴充套件竊取：安裝了權限過大的擴充套件，預設能讀取所有網頁內容。
• 其他平台密碼外洩 + 撞庫（credential stuffing）：你在某個被外洩的網站上用了同一組密碼。

所以，當朋友來說「我帳號被盜了」，與其問「你有沒有上奇怪網站填 Discord 密碼？」，更實際的調查問題是：

• 最近有沒有下載或執行任何來路不明的遊戲、外掛、Mod、破解、AI 工具、效率工具、壓縮檔內容？
• 有沒有朋友請你「幫忙測遊戲」「投票」「領 Nitro」「驗證身分」？
• 有沒有掃過 Discord 內或別人傳的 QR code？
• 有沒有跟著任何網頁的指示複製貼上 PowerShell、CMD 或終端機指令？
• 最近有沒有安裝新的 Chrome / Edge / Firefox 擴充套件？
• 有沒有開過 .exe、.bat、.cmd、.scr、.ps1 檔？
• Discord 帳號有沒有突然被登出、出現異地登入提示、個人資料被改、Nitro 訂閱或付款異常？
• 其他帳號（Email、Steam、GitHub、Google 等）是否也出現異常徵兆？

這些問題遠比「你有沒有填過密碼」能夠找出真正的源頭。

---

六、事件調查與判斷流程

下面這張表可以當作初步分流參考。它不是診斷工具，只是幫助使用者與管理員思考優先檢查方向；實際個案常常是多重原因疊加。

觀察到的現象	較可能的原因（需進一步確認）	建議優先檢查項目
帳號突然到處發圖片 / QR code / 短網址	Token 或 session 被盜，攻擊者用既有信任鏈擴散	立刻改密碼登出所有裝置；檢查近期下載與執行紀錄；全機掃毒
沒填密碼也沒裝程式，帳號卻被別人登入	QR code login 被誘導批准，或瀏覽器 cookie 被偷	回想是否掃過任何 QR；檢查瀏覽器擴充套件與啟動項目
Discord 以外的其他帳號也異常	高度可能為 infostealer，瀏覽器儲存密碼全外洩	視為整機外洩處理：改 Email、Google、Steam、GitHub 等所有密碼
最近曾在某個「驗證頁」按過 Authorize	惡意 OAuth 授權	進入 User Settings 檢查 Authorized Apps，移除可疑授權
曾安裝遊戲外掛、破解、Mod、AI 工具、來源不明壓縮檔	惡意程式 / RAT / Stealer	離線備份重要資料；用乾淨環境掃毒；必要時直接重灌系統
跟過網頁指示「按 Win+R 貼上指令」	ClickFix / Fake CAPTCHA 攻擊	視同已執行惡意 PowerShell，比照重大事件處理

實務上，只要其中任何一項中標，整台裝置都應該被當作「可能已遭入侵」來處理，而不只是處理 Discord 本身。

---

七、受害後處理建議

不同角色，能做的、該做的事不一樣。以下分為三組。

給一般使用者

下列步驟以「能立刻照著做」為原則，不需要資安背景：

1. 先用一台乾淨裝置（例如手機、另一台電腦）登入 Discord，立即更改密碼。這會讓所有現有 session 被強制登出，包含攻擊者拿在手上的 token。Discord 官方在帳號保護與 QR code 文件中都明確點出這一招的重要性⁷¹。
2. 同步更改 Email 帳號的密碼。Email 是大多數帳號的「復原核心」，如果 Email 失守，改 Discord 密碼也是徒勞。
3. 同時為 Discord 與 Email 啟用 2FA / MFA，建議使用 Authenticator App 而非簡訊 2FA。Discord 官方安全指南指出，簡訊 2FA 因為簡訊可能被攔截或 SIM 卡可能被劫持，安全性相對較低¹。
4. 檢查 Discord 的 Authorized Apps，把不認識或不再使用的 App 全部移除。
5. 檢查 Discord、Google、Microsoft、Steam、GitHub 等帳號的登入裝置與最近活動紀錄，看有沒有異地登入。
6. 回想最近下載過、執行過的檔案，特別是來源是 Discord、Telegram、來路不明網站的可執行檔。
7. 用 Windows Defender 或其他可信防毒軟體進行完整掃描（不是快速掃描）。
8. 如果你曾經執行過可疑 .exe、或貼過陌生 PowerShell 指令，請認真考慮備份重要資料後重灌系統。Infostealer 的持久化機制（啟動資料夾、排程工作、登錄檔等）對一般使用者來說極難自行徹底清除。
9. 更換所有你曾經重複使用的密碼，並開始改用密碼管理工具讓每個服務都有獨立密碼。
10. 主動通知朋友與你管理的群組：「我的帳號可能曾被盜，請不要點我這幾天傳出去的任何連結或圖片。」

如果你的 Email 已經被攻擊者改掉、帳號無法登入，Discord 官方支援文件提供帳號復原流程，例如透過原始 Email 中的「Email Address changed」通知所附的還原連結，在 48 小時內把 Email 改回來；如仍無法處理，則應透過官方支援單系統提報¹¹¹²。

特別提醒：Discord 官方明確指出，「Discord 員工不會透過 Discord App 直接私訊你處理帳號問題；任何要求你提供密碼、付款資訊、或要求你變更登入憑證的訊息，都不要回應、也不要繼續互動」¹¹。

給 Discord 社群管理員

當你發現有成員開始群發可疑訊息時，建議流程：

1. 先冷靜，假設這是被盜，而不是惡意成員。立即把該成員暫時禁言或隔離，避免訊息持續擴散，但不要急著踢人或封鎖，以免本人之後也無法上線澄清。
2. 不要在公開頻道責怪該成員。對方很可能是受害者，不是加害者。
3. 盡快清除已發出的可疑訊息，特別是含 QR code、短網址、附檔的訊息。
4. 發伺服器公告，明確說明：不要掃 QR code、不要下載任何附檔、不要點短網址、不要在任何頁面上按「Authorize」、不要照網頁指示複製貼上指令。
5. 設定 AutoMod 規則 / 機器人，偵測常見的釣魚特徵（短網址、free nitro、steam gift、airdrop、可疑域名等）。Discord 官方建議的伺服器安全設定包含提升「驗證等級」、限制新成員的發訊權，以及對管理員角色強制 2FA¹³。
6. 針對高風險頻道（例如能發圖、能 @everyone、能加 Bot 的頻道），限制只有信任成員才能操作。
7. 建立「帳號被盜處理 SOP」：被盜成員怎麼通報、管理員怎麼分流、訊息怎麼清、後續怎麼追蹤，全部寫成文件，避免事件當下還在臨時想流程。
8. 定期檢查伺服器邀請連結：如果你管理的伺服器曾經有過 Boost 等級降級，舊的 vanity invite 可能在未來被攻擊者重新註冊為自己的伺服器，導致原本散在外部網站的舊邀請連結指向惡意伺服器⁹。

給資安人員或進階使用者

如果你是被找來協助處理的資安從業人員，或自己就是進階使用者：

1. 保留事件相關證據：可疑訊息截圖、短網址、檔案雜湊、時間戳、Discord audit log（若為伺服器事件）。
2. 檢查瀏覽器擴充套件：尤其是最近安裝、權限過大、開發者不明的擴充套件。
3. 檢查持久化機制：Windows 啟動資料夾（%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup，這也是 VVS Stealer 等家族常用的位置⁴）、排程工作（Task Scheduler）、Registry Run / RunOnce key、服務、WMI 訂閱等。
4. 檢視 PowerShell history（%APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt）尋找「使用者疑似手動執行的指令」。ClickFix 攻擊在這裡留下的證據通常很明顯。
5. 檢查 Discord 本機資料夾是否有非預期的 JS 注入或檔案竄改：Unit 42 分析指出，VVS Stealer 會把混淆過的 JavaScript 寫入 Discord 的 Electron 應用程式目錄裡，利用事件 hook 監聽密碼變更、付款資訊變更等敏感動作⁶⁵。
6. 樣本如果需要分析，請務必在隔離環境執行（VM + 受控網路 + snapshot），不要在日常主機上開。
7. 針對 infostealer 情境，假設所有瀏覽器儲存的密碼、所有未過期的 session、所有自動填入資料都已外洩。重置範圍要拉得夠大，否則殘留的 cookie / session 會讓後續清理白做。
8. 企業環境：檢查是否有員工把公司帳號、SSO、VPN、Git、雲端平台憑證儲存在被感染的瀏覽器中。如果有，依照公司 IR 流程處理，包含撤銷 OAuth、輪換 secrets、檢查 Git push 歷史與 CI/CD 紀錄。

---

八、常見迷思澄清

Q1：只要點開圖片就會被盜嗎？

一般情況下不太可能。Discord 內的圖片本身通常只是顯示，不會主動執行程式。但如果你「點開圖片之後」做了下面任何一件事，就會大幅提高風險：掃描圖片裡的 QR code、點圖片附帶的短網址、下載並執行檔案、在跳出的網頁上輸入帳密、按下 Authorize、複製貼上指令。

換句話說，真正危險的不是看圖，而是看圖後被引導去做的下一步。

Q2：我有開 2FA，為什麼還可能被盜？

2FA 是非常重要的防線，能擋掉大量單純的密碼型攻擊。但 2FA 並不是萬靈丹：

• 如果攻擊者偷到的是「已登入的 token 或 cookie」，他繞過的是登入流程本身，2FA 沒有機會介入。
• 如果你手動掃 QR code 並按下 Log in 確認，從伺服器角度這是一次「合法的本人核准登入」，2FA 不會再跳出來阻擋⁷¹。
• 如果你在假登入頁同時輸入了密碼與 2FA code，攻擊者可以即時把這組資訊轉打到真的 Discord 上完成登入。

所以「改密碼讓舊 token 失效」之所以這麼重要，是因為 Discord 的密碼變更會強制讓所有 session 失效，包含攻擊者那一份。

Q3：我沒有填帳密，為什麼帳號還會被盜？

可能的原因包括：token / session 被 infostealer 偷走、瀏覽器 cookie 被竊取、QR code login 被誘導批准、惡意 OAuth 授權、執行了惡意檔案、貼上了惡意 PowerShell 指令、其他平台密碼外洩後被撞庫。「沒有親自輸入密碼」並不能證明「沒有被盜」。

Q4：改 Discord 密碼就好了嗎？

不一定夠。如果背後是 infostealer，那同一台電腦上的其他帳號（Email、Google、Steam、GitHub、社群、購物、銀行的網頁登入 session 等）都可能已經外洩。應該優先：

1. 確認裝置本身是否乾淨（必要時重灌）。
2. 從「Email 等帳號復原核心」開始改密碼，再處理其他重要服務。
3. 撤銷可疑的 OAuth / Authorized Apps。
4. 全面更換重複使用的密碼。

只改一個 Discord 密碼，等於只擦掉冰山的尖端。

Q5：朋友傳來的東西也不能信嗎？

不是「不能信朋友」，而是要理解：朋友的帳號可能正處在攻擊者的控制之下。重點不是換掉信任，而是換掉判斷依據。當訊息要你做下面任何一件事時，先停下來、用另一個管道（電話、其他社群、見面）跟朋友確認：

• 掃 QR code
• 點外部連結（特別是短網址或登入頁）
• 下載檔案或執行程式
• 在頁面上按 Authorize
• 複製貼上指令

如果朋友的回應有點奇怪、或催促你「快點啦」「現在就要做」，把這個視為紅旗，而不是社交禮儀。

---

九、可以轉發給朋友的簡短提醒

最近 Discord 帳號被盜的情況不少，被盜的帳號常常會自動到很多群組或私訊裡發圖片、QR code、短網址、Nitro 領取連結。先講重點：單純看圖片通常不會被盜，真正危險的是「圖片後面要你做的動作」——掃 QR code、點連結、登入假網站、下載檔案、按 Authorize 授權、或是複製貼上 PowerShell / CMD 指令。

如果朋友傳這類訊息給你，請先透過電話或其他平台問本人「這真的是你傳的嗎？」。不要因為「是熟人」就放下戒心。也建議大家把 Discord 與 Email 都打開 2FA，並用獨立密碼。

如果你發現自己已經中標，請盡快用乾淨裝置改 Discord 與 Email 的密碼、檢查 Authorized Apps、做完整掃毒，並通知朋友先不要點你前幾天傳出去的任何東西。

---

十、結論

整理一下這篇文章的主軸：

• 「Discord 帳號被盜後到處傳圖片」這類事件，比較像是帳號被劫持之後，利用社交信任鏈做下一波擴散，而不是「點開圖片就被盜」。
• 圖片通常只是誘餌。真正導致下一個受害者中標的，是 QR code login、假登入頁、惡意檔案、惡意指令、惡意 OAuth 授權、token / session 竊取。
• 沒有親手輸入過密碼，不代表沒有被盜。現代帳號劫持的路徑遠不只「假登入頁」一條。
• 對一般使用者來說，最關鍵的六個「不」是：不要掃、不要登入、不要下載、不要執行、不要授權、不要貼指令。
• 一旦中標，不要只處理 Discord 帳號本身，要把整台裝置與所有其他帳號都納入風險評估範圍，特別是 Email、Google、Microsoft、Steam、GitHub、購物與金融服務。

最後一句話送給大家：在現代的攻擊鏈裡，最容易被攻陷的常常不是技術，而是「我朋友才不會騙我」這個假設。願這篇文章能讓更多人在按下下一個按鈕之前，多一秒鐘的停頓。

---

參考資料

Discord 官方文件

1. Discord. My Discord Account was Hacked or Compromised. https://support.discord.com/hc/en-us/articles/24160905919511-My-Discord-Account-was-Hacked-or-Compromised
2. Discord. QR Code Login FAQ. https://support.discord.com/hc/en-us/articles/360039213771-QR-Code-Login-FAQ
3. Discord. Securing Your Discord Account. https://discord.com/safety/securing-your-discord-account
4. Discord. Four Steps to a Safer Account. https://discord.com/safety/360043857751-four-steps-to-a-super-safe-account
5. Discord. Four Steps to a Safer Server. https://discord.com/safety/360043653152-Four-steps-to-a-super-safe-server
6. Discord. My Discord Email was Changed and I Want to Undo It. https://support.discord.com/hc/en-us/articles/27299669812375-My-Discord-Email-was-Changed-and-I-Want-to-Undo-It

註：如需進一步官方說明，建議從 Discord Safety Center 與 Discord Support 帳號安全分類 入口查找最新文件。

資安廠商與研究機構報告

7. Palo Alto Networks Unit 42. VVS Discord Stealer Using Pyarmor for Obfuscation and Detection Evasion. 2026/01. https://unit42.paloaltonetworks.com/vvs-stealer/
8. The Hacker News. New VVS Stealer Malware Targets Discord Accounts via Obfuscated Python Code. 2026/01. https://thehackernews.com/2026/01/new-vvs-stealer-malware-targets-discord.html
9. Infosecurity Magazine. VVS Stealer Uses Advanced Obfuscation to Target Discord Users. 2026/01. https://www.infosecurity-magazine.com/news/vvs-stealer-advanced-obfuscation/
10. SC Media. Pyarmor-obfuscated VVS Stealer targets Discord, browser data. 2026/01. https://www.scworld.com/news/pyarmor-obfuscated-vvs-stealer-targets-discord-browser-data
11. Kaspersky. Hijacking Discord invite links to install malware. 2025/08. https://www.kaspersky.com/blog/hijacked-discord-invite-links-for-multi-stage-malware-delivery/53955/
12. Check Point. Hijacked Trust: How Malicious Actors Exploited Discord’s Invite System to Launch Global Multi-Stage Attacks. 2025/06. https://blog.checkpoint.com/research/hijacked-trust-how-malicious-actors-exploited-discords-invite-system-to-launch-global-multi-stage-attacks/
13. Kuba Gretzky. Evil QR — Phishing With QR Codes, breakdev.org. https://breakdev.org/evilqr-phishing/

撰寫聲明

• 本文目的為事件分析與防禦建議，不示範任何攻擊手法，亦未提供任何可用以盜取 token、製作釣魚頁、繞過防護的細節。
• 文中對於「攻擊者較可能採用的手法」的描述，皆基於公開研究報告與官方文件，並避免「一定是某某攻擊」這類過度斷言。實際個案應依現場跡證判斷。
• 部分技術細節（例如特定家族的最新變種、特定持久化路徑）可能隨時間變化，請以引用的廠商報告最新版本為準。如讀者觀察到與本文不符的新型態，建議回到原始研究來源確認。