A Valve, a Steam és a PC-s játékok néhány legmeghatározóbb címének mögötte álló cég megerősítette, hogy hatalmas, 12 TB-nyi belső fájlt tartalmazó adatkitettség történt. De a játékhírekben megszokott adatlopási címekkel ellentétben ezt nem egy hacker okozta, aki áttörte a védelmet. Ez egy nyilvános végpont eredménye volt, amely nagyjából egy évtizeden át maradt védtelenül, és csendben szivárogtatta ki a 2003 és 2013 közötti belső build-eket és eszközöket.

Mit tárt fel valójában a Valve-szivárgás

A jelentések szerint a kiszivárgott adatok között belső játékbuild-ek és fejlesztési eszközök találhatók, amelyek a Valve történetének tíz évét ölelik fel. Ez nem ügyfélfiók-adat vagy fizetési információ a hagyományos adatlopási bejelentések értelmében. Ehelyett belső fejlesztési anyagok kincsesbányája: olyan fájlok, amelyek megmutatják, hogyan épültek fel, teszteltek és finomítottak a játékok a zárt ajtók mögött.

Egy olyan vállalat számára, amely annyira titkolja a fejlesztési folyamatát, mint a Valve, ez még mindig jelentős kitettség. A belső build-ek felfedhetnek kiadatlan tartalmakat, törölt funkciókat, forráskód-részleteket és olyan fejlesztési gyakorlatokat, amelyeket soha nem szántak nyilvános fogyasztásra. Pusztán a méret, a 12 TB, már önmagában is az egyik legnagyobb belső adatkitettséggé teszi ezt, amelyről a játékiparban az utóbbi időkben beszámoltak.

Hogyan okozott egy nyilvános végpont – nem pedig egy hack – egy évtizedes kitettséget

A történet legfontosabb részlete nem az adatok mennyisége. Hanem az ok. A Cybernews jelentése szerint ez a kitettség egy nyilvános végpontból eredt, nem pedig behatolásból, adathalász kampányból vagy célzott támadásból. Egyszerűen fogalmazva: az adatok valószínűleg bárki számára elérhetők voltak, aki tudta, hol keresse, olyan infrastruktúrán fekve, amelyet korlátozni kellett volna, de nem korlátoztak.

Ez a részlet azért számít, mert átkeretezi az egész incidenst. Nem volt kifinomult ellenfél, akit hibáztatni lehetett volna, nem volt zsarolóvírus-csoport, amely fizetést követelt volna, és nem volt bizonyíték olyan adatlopásra, amilyennek a legtöbben elképzelik. Ehelyett a kitettség egy konfigurációs hanyagságra vezethető vissza, amelyet évekig észre sem vettek, vagy nem kezeltek. Egy évtizedes időablak hosszú idő ahhoz, hogy érzékeny belső adatok bárki keze ügyébe kerüljenek, aki véletlenül rábukkan a megfelelő címre.

Pontosan ez az a fajta megállapítás, amely megkülönbözteti a rossz konfigurációt a hacktől az incidensjelentésekben, még akkor is, ha a gyakorlati következmények az érintett adatok szempontjából ugyanolyan súlyosak lehetnek.

Miért számítanak a rossz konfigurációból eredő adatlopások ugyanúgy, mint a kifinomult támadások

Csábító, hogy a rossz konfigurációból eredő incidenseket kevésbé ijesztőnek tekintsük, mint a címlapos hackeket. Nincs megnevezhető bűnözői csoport, nincs váltságdíj-követelés, nincs sötét webes lista, amelyre mutathatnánk. De ez a megközelítés alábecsüli a kockázatot. Egy évekig nyitva hagyott nyilvános végpont valószínűleg tartósabb hiba, mint egy egyszeri sikeres behatolás, mert folyamatos rést képvisel, nem pedig egyszeri eseményt.

Ez a minta iparágakon átível, nem csak a játékokra jellemző. Nemrég egy Unsafe nevű zsarolóvírus-csoport magára vállalta a Deutsche Bank elleni támadást, ami egy nagyon más típusú incidens, amely egy pénzintézetet és egy bűnözői szereplőt érint, aki aktívan kihasználja az ellopott adatokat. Hasonlítsuk ezt össze a Valve helyzetével, ahol egy támadónak nem kellett mást tennie, mint megtalálni egy kitett címet. Mindkét incidens aláássa a felhasználók bizalmát az érzékeny adatokat tároló platformokban, de ellentétes irányból érkeznek: az egyik rosszindulatú szándékon, a másik az alapvető biztonsági higiénia elmaradásán keresztül. Azoknak a vállalatoknak, amelyek fizetési adatokat, személyes információkat és fiókbelépési adatokat tárolnak – mint ahogy a Steam teszi milliók számára –, mindkét hibamód egyenlő vizsgálatot érdemel.

Mit jelent ez Önnek

Ha Ön Steam-felhasználó, a legfontosabb azonnali tanulság az, hogy ez a konkrét szivárgás belső fejlesztési fájlokra összpontosít, nem pedig fiókbelépési adatokra vagy fizetési adatokra. A jelentésekben nincs arra utaló jel, hogy Steam-fiók jelszavak, pénzügyi információk vagy személyes felhasználói adatok szerepeltek volna ebben a konkrét kitettségben. Ennek ellenére az ilyen incidensek hasznos emlékeztetőül szolgálnak arra, hogy még a nagy, jól finanszírozott vállalatok is hagyhatnak érzékeny rendszereket őrizetlenül hosszú időkre anélkül, hogy bárki észrevenné.

A hétköznapi felhasználók számára a gyakorlati válasz ugyanaz, függetlenül attól, hogy ki okozta az adott szivárgást. Tartsa Steam-fiókját erős, egyedi jelszóval és kétfaktoros hitelesítéssel védve. Legyen óvatos az adathalász kísérletekkel, amelyek megpróbálhatják kihasználni a hackelési híreket, mivel a csalók gyakran használják az ilyen híreket a hivatalos kommunikáció megszemélyesítésére. És figyelje a Valve hivatalos csatornáit minden további nyilatkozatért, mivel a vállalatok néha további részleteket adnak ki, ahogy az ilyen kitettségek vizsgálata folytatódik.

A nagyobb kép

A Valve adatlopásának rossz konfigurációja emlékeztető arra, hogy nem minden adatkitettséghez kell hacker. Néha a platform felhasználóit fenyegető legnagyobb kockázat nem egy behatolni próbáló bűnözői szereplő, hanem egy egyszerű felügyelet, amelyet évekig nem oldottak meg. Ahogy személyes és pénzügyi életünk egyre nagyobb része költözik olyan platformokra, mint a Steam, az ehhez hasonló incidensek és a különálló Deutsche Bank-támadás azt mutatják, hogy az ezekbe a rendszerekbe vetett bizalom következetes biztonsági gyakorlatokon múlik, nem csak az elszánt támadók elleni védekezésen. Ha tájékozottak maradunk arról, hogyan történnek ezek az incidensek – és nem csak arról, hogy milyen adatok kerültek nyilvánosságra –, az az egyik legjobb módja annak, hogy a felhasználók számonkérhetővé tegyék a platformokat.