BlackInk
1. Discord 是什麼？
Discord 最初定位為玩家社群的即時語音與文字聊天工具，如今功能已涵蓋社群伺服器、私訊、視訊會議、機器人整合與檔案分享。它免費、跨平台且操作直覺，吸引不少社群與開源團隊採用；也有企業為追求效率，將 Discord 當成內部通訊與協作平台。然而，工作場合往往涉及機密文件與個資，選擇工具前必須評估「便利」能否兼顧「安全」。
2. 為何要關注附件 CDN？
當你在 Discord 上傳圖片或文件時，檔案會被存放到 https://cdn.discordapp.com/attachments/…。這段網址可直接於瀏覽器開啟，無須登入。
早在 2020 年，就有使用者在官方論壇提案，質疑「檔案刪除後依舊可外部存取」的隱憂，並呼籲 Discord 引入權限驗證與真正刪除機制。Discord 論壇連結
3. CDN 的運作與常見誤解
「刪除訊息後檔案還在。」
- 早期確實有人驗證過；官方後續調整，若在 Discord 內刪除訊息，多數情境下外部會顯示「This content is no longer available.」。然而，這並非即時移除，而是靠後端作業與快取更新。 BleepingComputer 報導
「既然會失效，就完全沒事了。」
- CDN 仍屬公開，只要有人事前複製連結貼到其他平台，在效期內仍能存取；此外，舊版本連結或機器人日誌中的 URL 可能被長期保留。
「URL 很長，猜不到。」
- 連結格式為
{channelId}/{attachment_id}/{檔名}。其中channelId與檔名可以被推測或公開，真正難以猜測的是亂數attachment_id。暴力破解的機率極低，但並非零。
小結：「難猜」不等於「絕不會外洩」。只要連結被複製過，或機器人、日誌系統紀錄下來，就有再度被存取的可能。
4. 實際風險：從 URL 結構到惡意濫用
-
公開結構帶來的外流機會
在私人頻道貼上的圖片，只要 URL 外流，任何人都能於瀏覽器打開。部分外掛或擴充機器人會收集訊息、整理日誌，意外擴散連結。 -
被拿來做免費檔案託管
安全研究指出，有攻擊者將惡意程式上傳至 Discord CDN，再把連結嵌入釣魚郵件或論壇貼文，以規避傳統主機封鎖。Zscaler 研究 -
歷史資料可能長期存在
若團隊過去曾透過 Discord 傳遞合約、證件掃描，連結可能已散布於機器人日誌或備份訊息中，即使刪除訊息也難保沒有殘留副本。
5. Discord 的改進：臨時連結與驗證
Discord 於 2023 年底宣布，將全面啟用24 小時效期的臨時 CDN 連結，並在 URL 加入簽章與過期時間（參數 ex、is、hm），藉此防堵長期存取與惡意託管。Reddit 討論、BleepingComputer
- 在 Discord 介面點擊附件時，系統會自動取得新連結，使用者體驗不受影響。
- 對「平台外分享」的連結，超過效期便無法開啟，降低長期外流風險。
- 舊訊息或第三方機器人記錄的舊 URL 過期後，需重新抓取才可用。
雖然機率小，但仍可能在效期內被下載或備份；且舊檔案是否已全面納入過期機制，仍取決於官方推行進度。
6. 最容易被忽略的破口：機器人權限
前面談的都是「檔案」本身，但在 Discord 伺服器裡，還有一個權限大得驚人、卻幾乎沒人會多看一眼的角色：機器人。
邀請機器人時，Discord 會跳出一個授權畫面，列出這個機器人要求的權限。大多數人的反應是——直接往下捲，按「授權」。很多機器人為了省去設定麻煩，乾脆直接要求 「管理員（Administrator）」。
「管理員」權限到底有多大？
- 無視所有頻道權限設定：你特地設成只有主管看得到的私人頻道，擁有管理員權限的機器人照樣看得到，包含所有歷史訊息與附件連結。
- 能改動整個伺服器：刪除頻道、踢出或封鎖成員、建立 Webhook、調整身分組，都在它的能力範圍內。
- 沒有人會注意到它：機器人不會像真人一樣在頻道裡發言，它安靜地待在成員列表裡，時間一久，連當初是誰邀請、為什麼邀請都沒人記得。
風險從哪裡來？
機器人本身未必有惡意，真正的問題在於：你把整個伺服器的鑰匙，交給了一個你無法掌控的第三方。
-
機器人被入侵或 Token 外洩
機器人靠一組 Token 登入。一旦 Token 外洩（例如開發者不小心把它推上公開的 GitHub），攻擊者就能以這個機器人的身分，行使你當初給它的所有權限。你給的是管理員，攻擊者拿到的就是管理員。 -
機器人易主或停止維護
小型機器人常由個人開發者維護。專案被轉手、開發者帳號被盜，或乾脆沒人維護時，機器人仍然留在你的伺服器裡，擁有同樣的權限。 -
讀取所有訊息內容
擁有「訊息內容」存取能力的機器人，可以讀到它看得到的每一則訊息。搭配管理員權限，等於所有頻道都在它的視野內——回到前面談的 CDN 問題，你貼過的每個附件連結，也都可能被它記錄下來。 -
身分組的連鎖效應
擁有「管理身分組」權限的機器人，可以把低於自己的身分組指派給任何人。如果機器人的身分組排得太高，它（或控制它的人）就有辦法間接替別人提權。
該怎麼做？
- 只給需要的權限：邀請時仔細看授權畫面，把用不到的權限取消勾選，尤其是「管理員」。設計良好的機器人會讓你依功能選擇需要的權限，而不是一律要求管理員。
- 定期盤點：到「伺服器設定 → 整合」檢查目前有哪些機器人，移除不再使用的；同時檢查每個機器人身分組的權限與排序。
- 用頻道權限隔離敏感頻道：在存放機密資訊的頻道，明確拒絕機器人的「檢視頻道」權限（前提是它沒有管理員權限，否則這個設定無效）。
- 限制誰能邀請機器人：只有擁有「管理伺服器」權限的人能把機器人加進來，這個權限應該只交給少數可信任的人。
- 開啟管理操作的兩步驗證要求：在伺服器的安全設定中開啟後，擁有者未啟用兩步驗證的機器人，也無法執行踢人、封鎖、刪訊息等管理操作。
- 檢查個人的授權應用程式：到「使用者設定 → 已授權的應用程式」，移除不認識的授權。許多盜號詐騙正是騙你授權一個假應用程式。
小結：機器人是伺服器裡權限最大、卻最不被注意的成員。邀請之前多看一眼授權畫面，比事後補救容易得多。
7. 實務建議：如何自保？
-
巡檢舊訊息
重新瀏覽工作群組與私訊，刪除含個資、合約或財務資訊的檔案與圖片。 -
替換傳輸管道
機密文件建議改用公司雲端硬碟、端對端加密工具，或具備權限稽核功能的企業聊天平台。 -
教育成員
提醒團隊「URL 不等於安全」，不要把檔案連結貼到公開論壇或社群。 -
檢查機器人日誌與權限
確認訊息紀錄機器人的日誌存放位置與權限，避免成為外洩來源；同時依上一節的方式，收斂每個機器人的權限。 -
設定存取權限
善用 Discord 伺服器層級設定，限制誰能上傳附件、誰能讀取日誌，減少潛在外流面。
8. 概率低 ≠ 不必在意
理論上，要靠「隨機亂數」暴力破解出有效 attachment_id 幾乎不可能；然而，在資訊安全領域，0.01 % 的風險對商業機密而言就可能是 100 % 的災難。
不能完全相信任何系統能達到「百分之百安全」，尤其得知自己傳送的照片其實公開託管，只是被長 URL「遮掩」時，更不應放心將敏感資訊交給它。
9. 結語
Discord 是一把雙刃劍：對一般社群而言方便靈活；對追求合規與保密的企業，公開 CDN 的先天設計仍需額外評估。臨時連結機制帶來正向改進，但無法取代嚴謹的資訊治理流程；而那些被隨手授予管理員權限的機器人，更是許多伺服器從未檢視過的後門。
「工具的便利」與「資料的價值」何者更重要？
決策者應先釐清需求，再決定是否將 Discord 納入正式工作流程。畢竟，真正可靠的防護，始終來自人與制度，而不僅僅是一條看似隨機、實則可能外流的 URL。