Discord Law Enforcement Data Request: Przewodnik dla policji i rządu

Discord to platforma do komunikacji głosowej, wideo i tekstowej, posiadająca ponad 500 milionów zarejestrowanych kont i około 19 milionów aktywnych serwerów (gildii) dziennie. Jest ona rutynowo spotykana w dochodzeniach dotyczących cyberprzestępczości: oszustw kryptowalutowych i związanych z przedmiotami w grach, dokonywanych na prywatnych serwerach, kampanii sekstortcji wymierzonych w osoby nieletnie, materiałów przedstawiających seksualne wykorzystywanie dzieci (CSAM) udostępnianych na szyfrowanych kanałach, koordynacji działań typu swatting oraz sprzedaży złośliwego oprogramowania, skradzionych danych uwierzytelniających i usług brokerów wstępnego dostępu w społecznościach dostępnych tylko na zaproszenie. Discord Inc. jest zarejestrowany w Stanach Zjednoczonych, a jego dane podlegają przede wszystkim federalnej ustawie Stored Communications Act (18 U.S.C. § 2701 et seq.).

Identyfikatory do wniosku o dane

Każde konto, serwer i wiadomość na Discordzie posiada unikalny identyfikator numeryczny (identyfikator „snowflake”). Podanie poprawnego identyfikatora jest obowiązkowe — nazwa wyświetlana lub pseudonim są niewystarczające, ponieważ użytkownicy mogą mieć takie same nazwy lub zmieniać je w dowolnym momencie.

Włączanie trybu deweloperskiego (aby skopiować identyfikatory):

• Komputer / Przeglądarka: Kliknij ikonę koła zębatego obok swojej nazwy użytkownika › karta Zaawansowane › włącz Tryb dewelopera. Następnie kliknij prawym przyciskiem myszy dowolną nazwę użytkownika, nazwę serwera lub wiadomość i wybierz Kopiuj ID.
• Urządzenia mobilne (Android): Stuknij swój awatar › Ustawienia aplikacji › Zachowanie › włącz Tryb dewelopera. Stuknij menu z trzema kropkami przy serwerze lub użytkowniku, aby znaleźć Kopiuj ID.
• Urządzenia mobilne (iOS): Stuknij swój awatar › Wygląd › Zaawansowane › włącz Tryb dewelopera.

W przypadku identyfikatorów serwerów (gildii), kliknij prawym przyciskiem myszy lub przytrzymaj nazwę serwera na pasku bocznym i wybierz Kopiuj ID serwera. W przypadku identyfikatorów wiadomości, kliknij prawym przyciskiem myszy konkretną wiadomość. Identyfikatory te, wraz z sygnaturami czasowymi, pozwalają Discordowi precyzyjnie określić zakres danych, które mają zostać zabezpieczone lub udostępnione.

Jakie dane udostępnia Discord

Discord stosuje trzystopniowy model ujawniania danych powiązany ze standardami procedur prawnych w USA:

Procedura prawna	Standard	Udostępniane dane
Wezwanie sądowe (Subpoena)	Istotność	Nazwa użytkownika, e-mail, numer telefonu, data utworzenia konta, adres IP rejestracji, historia adresów IP logowania, sygnatury czasowe sesji, metoda płatności Nitro (ostatnie cztery cyfry i adres rozliczeniowy)
Nakaz sądowy (18 U.S.C. § 2703(d))	Konkretne i dające się uzasadnić fakty	Wszystkie dane z wezwania sądowego oraz rozszerzone metadane, logi transakcji i dodatkowe dane niebędące treścią wiadomości
Nakaz przeszukania (uzasadnione podejrzenie)	Uzasadnione podejrzenie	Wszystkie powyższe oraz wiadomości prywatne, wiadomości na kanałach serwera, przesłane pliki i utworzone treści. Treść wiadomości jest przechowywana bezterminowo, chyba że zostanie usunięta przez użytkownika.

Czego Discord nie przechowuje: Discord nie nagrywa ani nie przechowuje treści połączeń głosowych, wideo ani transmisji na żywo. Te kanały są w praktyce niedostępne nawet na podstawie nakazu.

Przechowywanie po usunięciu: Discord nie dokumentuje publicznie, jak długo poszczególne pola są przechowywane po usunięciu konta. Jeśli czas ma kluczowe znaczenie, należy niezwłocznie złożyć wniosek o zabezpieczenie danych za pośrednictwem portalu Kodex, zamiast polegać na domniemanym okresie przechowywania.

Powiadamianie użytkownika: Domyślną polityką Discorda jest powiadamianie posiadacza konta o tym, że zażądano jego danych, chyba że ważny nakaz zachowania poufności lub odpowiedni przepis prawny zabrania takiego powiadomienia. Discord nie powiadamia użytkowników o wnioskach o zabezpieczenie danych ani o wnioskach o ujawnienie danych w sytuacjach awaryjnych.

Jak złożyć wniosek

1. Zarejestruj się w portalu. Odwiedź https://app.kodexglobal.com/discord/signin i utwórz konto, używając ważnego adresu e-mail w domenie rządowej. Kodex zweryfikuje Twoją tożsamość i przynależność do agencji przed przyznaniem dostępu.
2. Najpierw złóż wniosek o zabezpieczenie danych (jeśli czas jest krytyczny). Discord zabezpiecza dane konta na początkowy okres 90 dni na podstawie 18 U.S.C. § 2703(f), z możliwością przedłużenia o kolejne 90 dni na wniosek. Zabezpieczenie daje czas na uzyskanie formalnej procedury prawnej. Discord przyjmuje wnioski o zabezpieczenie danych od zagranicznych organów ścigania za pośrednictwem tego samego portalu.
3. Prześlij swoją procedurę prawną. Prześlij wezwanie sądowe, nakaz sądowy lub nakaz przeszukania za pośrednictwem portalu, podając wymagane identyfikatory Discord. Discord może ubiegać się o zwrot kosztów poniesionych bezpośrednio w związku z odpowiedzią na wniosek, zgodnie z przepisami federalnymi.
4. Sprawy CSAM / NCMEC Cybertip. Jeśli Twoje dochodzenie rozpoczęło się od zgłoszenia NCMEC CyberTipline, uwzględnij numer Cybertip w swoim wniosku. Discord składa raporty Cybertip do NCMEC i wykorzystuje to odniesienie do dokładnego określenia zakresu udostępnianych danych.

Discord nie przyjmuje wniosków pocztą tradycyjną, faksem ani standardową pocztą elektroniczną. Cała komunikacja po złożeniu wniosku odbywa się za pośrednictwem portalu Kodex.

Wnioski o ujawnienie danych w sytuacjach awaryjnych

W przypadku bezpośredniego zagrożenia życia lub poważnego uszczerbku na zdrowiu, Discord może dobrowolnie ujawnić zarówno informacje o subskrybencie, jak i treść wiadomości bez wezwania sądowego, nakazu sądowego lub nakazu przeszukania, zgodnie z wyjątkiem dotyczącym sytuacji awaryjnych w ustawie Stored Communications Act.

Aby wniosek został rozpatrzony, wnioskujący funkcjonariusz musi złożyć go za pośrednictwem portalu Kodex i określić:

• Szczegółowy charakter sytuacji awaryjnej i powód, dla którego jest ona bezpośrednia;
• Precyzyjny rodzaj potrzebnych danych i sposób, w jaki pomogą one w sytuacji awaryjnej;
• Odpowiedni identyfikator(y) Discord dla danego konta(kont).

Discord nie powiadamia użytkownika o wniosku o ujawnienie danych w sytuacji awaryjnej. Decyzja o zatwierdzeniu należy do Discorda. Wnioski awaryjne dotyczące CSAM lub aktywnych zagrożeń bezpieczeństwa dziecka należą do najczęściej uwzględnianych kategorii.

Dla Indii: podstawa prawna i proces

Discord jest podmiotem z USA. Indyjskie organy ścigania nie mogą bezpośrednio doręczać amerykańskich dokumentów prawnych. Obowiązujące instrumenty krajowe tworzą podstawę prawną do żądania danych; mechanizm transgraniczny określa, czy Discord uwzględni to żądanie.

• IT Act, 2000 — Section 69: Upoważnia rząd centralny lub stanowy do nakazania przechwytywania, monitorowania lub deszyfrowania informacji elektronicznych w interesie suwerenności, bezpieczeństwa, porządku publicznego lub zapobiegania przestępstwom. Polecenia są zazwyczaj kierowane do pośredników działających w Indiach; zgodność Discord z nakazami na podstawie Section 69 w odniesieniu do danych przechowywanych w USA pozostaje przedmiotem MLAT.
• IT Rules, 2021 — Rule 3 (Wytyczne dla pośredników): Znaczący pośrednicy mediów społecznościowych muszą wyznaczyć urzędnika łącznikowego (nodal officer) rezydującego w Indiach, dostępnego 24×7 w celu koordynacji z organami ścigania, oraz przechowywać rejestry przez co najmniej 180 dni. Discord nie publikuje oddzielnego kontaktu do indyjskiego urzędnika łącznikowego; wnioski o usunięcie treści i koordynację pierwszego stopnia należy kierować przez oficjalny Government Request Portal Discord (powyżej), a w przypadku danych konta należy korzystać z procedury MLAT.
• BNSS, 2023 — Section 94: Sądy i funkcjonariusze kierujący komisariatem policji mogą wydać wezwanie (w tym w formie elektronicznej) wymagające przedstawienia dokumentów, komunikacji elektronicznej oraz urządzeń komunikacyjnych zawierających dowody cyfrowe. Jest to krajowy mechanizm nakazu wydania dowodów; w przypadku dostawców usług z siedzibą w USA, odniesienie do niego znajduje się we wniosku MLAT przesyłanym do Departamentu Sprawiedliwości USA.
• Mutual Legal Assistance Treaty (MLAT) w zakresie treści: W przypadku danych konta i treści wiadomości standardowa ścieżka wygląda następująco: funkcjonariusz prowadzący dochodzenie sporządza wniosek › przekazuje go do organu centralnego MHA › MHA przesyła go do Biura Spraw Międzynarodowych (OIA) Departamentu Sprawiedliwości USA › OIA zobowiązuje Discord do działania poprzez proces sądowy w USA. Średni czas realizacji wynosi 10–12 miesięcy. W pilnych sprawach indyjskie agencje mogą jednocześnie złożyć wniosek o ujawnienie w trybie pilnym bezpośrednio przez portal Kodex, jeśli życie jest bezpośrednio zagrożone.

Indyjscy śledczy powinni jak najszybciej zainicjować wniosek o zabezpieczenie danych (preservation request) za pośrednictwem portalu Kodex, aby zapobiec usunięciu danych w trakcie trwania procedury MLAT.

Czego będziesz potrzebować

• Zweryfikowanego adresu e-mail w domenie rządowej w celu rejestracji w portalu Kodex;
• Co najmniej jednego ważnego identyfikatora Discord: numerycznego ID użytkownika (17–18 cyfr), nazwy użytkownika (z uwzględnieniem wielkości liter), zarejestrowanego adresu e-mail lub numeru telefonu;
• ID serwera (guild) i/lub ID wiadomości, jeśli zakres wykracza poza pojedyncze konto;
• Odpowiedniego instrumentu prawnego — subpoena (wezwanie) w przypadku informacji o subskrybencie, warrant (nakaz) w przypadku treści wiadomości;
• W sprawach dotyczących CSAM: numeru referencyjnego NCMEC CyberTipline;
• W przypadku indyjskich agencji poszukujących treści: wniosku MLAT za pośrednictwem MHA oraz równoległego wniosku o zabezpieczenie danych w portalu Kodex złożonego niezwłocznie.

Pełny katalog portali dla organów ścigania obsługujących główne platformy znajduje się w naszym centrum portali LERS lub w przewodniku LERS po platformach.

Zobacz także: Discord Preservation and Emergency Requests: Police Guide & Template.