Un studio de jeux australien nommé dans une fuite liée à un ransomware

Le développeur de jeux vidéo Mighty Kingdom, basé à Adélaïde, a été désigné comme victime du groupe de ransomware Direwolf, selon les rapports sur l'incident. Le groupe affirme avoir exfiltré plus de 260 dépôts de code du studio le 17 août. Comme pour la plupart des divulgations de ransomware, la revendication est d'abord apparue sur le site de fuite du groupe, une tactique de pression courante utilisée pour forcer les victimes à payer avant que les données volées ne soient publiées ou vendues.

Mighty Kingdom est l'un des plus grands développeurs indépendants de jeux vidéo en Australie, et une violation de cette ampleur soulève des questions qui dépassent les simples problèmes informatiques internes d'une seule entreprise. Lorsque les dépôts de code source d'un studio de jeux sont compromis, les répercussions peuvent toucher les joueurs, les partenaires et les employés, même si leurs données personnelles n'ont jamais été la cible principale.

Pourquoi le vol de code source est un type différent de violation de données

La plupart des violations qui font la une impliquent des dossiers clients : noms, e-mails, détails de paiement. Une violation de code source est une tout autre affaire, mais sans doute tout aussi grave. Les dépôts de code contiennent souvent bien plus que la logique du jeu. Ils peuvent inclure des identifiants intégrés, des clés API, de la documentation interne, des pipelines de construction, et parfois des données personnelles appartenant à des employés ou sous-traitants ayant commité du code sous leur propre nom.

Si les revendications du groupe Direwolf sont exactes, l'exposition de plus de 260 dépôts pourrait offrir aux attaquants un plan détaillé des systèmes internes de Mighty Kingdom. Cela importe pour deux raisons. Premièrement, un code source divulgué peut être épluché pour y trouver des vulnérabilités exploitables lors de futures attaques, non seulement contre le studio lui-même, mais aussi contre tout produit construit sur ce code. Deuxièmement, les dépôts volés sont fréquemment utilisés comme levier dans des schémas de double extorsion, où les attaquants menacent de publier ou de mettre aux enchères les données à moins qu'une rançon ne soit payée, indépendamment du fait que l'entreprise restaure ou non ses propres systèmes à partir de sauvegardes.

Ce schéma est devenu de plus en plus courant dans des secteurs bien au-delà du jeu vidéo. Les opérateurs de ransomware ont ciblé tout, des agences gouvernementales aux fournisseurs d'infrastructures critiques, comme on l'a vu dans les violations de données des gouvernements britannique et suisse signalées plus tôt ce mois-ci, et même des filiales informatiques liées à de grandes entreprises multinationales, comme documenté dans la violation de la filiale italienne d'IBM liée à des opérations cybernétiques chinoises. Que la cible soit un organisme public ou un studio de jeux privé, le manuel d'action sous-jacent — exfiltration suivie d'extorsion — semble remarquablement cohérent.

L'angle de la vie privée dont personne ne parle

La plupart des couvertures de cet incident se concentrent, à juste titre, sur le risque de propriété intellectuelle pour les jeux de Mighty Kingdom. Mais il y a aussi une dimension de vie privée qui mérite d'être signalée. Les dépôts de code sont des espaces de travail collaboratifs. Ils enregistrent souvent qui a écrit quoi, quand, et contiennent parfois des commentaires, des fichiers de configuration ou des données de test qui font référence à de véritables informations d'employés ou d'utilisateurs laissées lors du développement. Si la revendication d'exfiltration de Direwolf se confirme, toute personne dont les données personnelles étaient incidemment stockées dans ces dépôts, employés actuels ou anciens, sous-traitants ou bêta-testeurs, pourrait être indirectement exposée, même si elle n'a jamais été la cible visée.

C'est un thème récurrent dans les violations qui commencent par un fournisseur ou un système interne plutôt qu'une base de données orientée client. La violation de Trezor impliquant son partenaire d'expédition ShipMonk a montré comment une compromission tierce peut exposer des données clients que l'entreprise principale ne contrôlait jamais directement. La situation de Mighty Kingdom inverse ce scénario : il s'agit d'une compromission de première partie, mais les effets en cascade sur la vie privée des individus pourraient être tout aussi réels, selon ce que contiennent réellement les dépôts volés.

Ce que cela signifie pour vous

Si vous êtes un joueur, un partenaire ou un ancien employé lié à Mighty Kingdom, il n'y a pas grand-chose que vous puissiez faire pour contrôler ce qui advient du code source interne. Mais il y a des précautions sensées à prendre chaque fois qu'une entreprise avec laquelle vous avez interagi est nommée dans un incident de ransomware :

  • Surveillez les tentatives de connexion inhabituelles ou les e-mails de réinitialisation de mot de passe liés à des comptes Mighty Kingdom ou à des services associés.
  • Si vous êtes un employé, un ancien employé ou un sous-traitant, demandez-vous si des informations personnelles auraient pu être stockées dans des fichiers de projet et surveillez les signes d'usurpation d'identité.
  • Méfiez-vous des e-mails non sollicités faisant référence à cette violation, car les attaquants utilisent souvent l'actualité d'une fuite pour élaborer des tentatives de phishing convaincantes.
  • Activez l'authentification multifactorielle chaque fois que possible, en particulier sur les comptes liés aux plateformes de jeux ou aux outils de développement.

Les groupes de ransomware comptent sur l'incertitude et l'urgence pour obtenir des paiements et de l'attention. Jusqu'à ce que Mighty Kingdom ou des chercheurs indépendants confirment exactement ce qui a été pris, traitez ces revendications avec une prudence appropriée, sans les rejeter ni supposer le pire.

Garder une longueur d'avance sur la prochaine divulgation

Les violations de code source comme celle-ci rappellent que la protection des données ne concerne pas seulement les bases de données clients. Les pipelines de développement, les dépôts internes et les identifiants des employés sont des cibles de plus en plus attrayantes pour les opérateurs de ransomware cherchant un levier. Alors que des incidents impliquant des données divulguées de policiers et d'autres dépôts sensibles continuent de faire surface, la leçon pour les organisations de toutes tailles est la même : auditez ce qui est stocké dans vos environnements de développement, limitez les accès inutiles et supposez que tout identifiant ou dépôt exposé pourrait un jour se retrouver sur un site de fuite.

Pour l'instant, toute personne liée à Mighty Kingdom devrait surveiller les mises à jour officielles de l'entreprise et considérer les revendications du groupe Direwolf comme non confirmées mais dignes d'une attention soutenue.