ダイアウルフ・ランサムウェアがマイティ・キングダムを攻撃：260以上のリポジトリが侵害されたと主張

オーストラリアのゲームスタジオがランサムウェアリークで名指しされる

アデレード拠点のゲーム開発会社マイティ・キングダムが、ダイアウルフ・ランサムウェアグループの被害者となったと、この事件に関する報道で明らかになった。同グループは、8月17日にスタジオから260以上のコードリポジトリを窃取したと主張している。ほとんどのランサムウェア開示と同様に、この主張はまず同グループのリークサイトに掲載された。これは、盗まれたデータが公開または販売される前に被害者に支払いを強要するために使われる一般的な圧力戦術である。

マイティ・キングダムはオーストラリアで最大級の独立系ゲーム開発会社の一つであり、この規模の侵害は単なる企業内部のIT問題を超えた疑問を提起する。ゲームスタジオのソースコードリポジトリが侵害された場合、その影響はプレイヤー、パートナー、従業員にまで及ぶ可能性がある。たとえ彼らの個人データが主な標的ではなかったとしてもだ。

ソースコード窃取が通常のデータ侵害と異なる理由

見出しを飾るような侵害のほとんどは、名前、メールアドレス、支払い情報といった顧客記録を伴う。ソースコードの侵害は別種のものだが、論を待たずして同様に深刻である。コードリポジトリには、ゲームロジック以上のものが含まれていることが多い。埋め込まれた認証情報、APIキー、内部ドキュメント、ビルドパイプライン、そして場合によっては自分の名前でコードをコミットした従業員や契約業者の個人データが含まれることもある。

ダイアウルフグループの主張が正確であれば、260以上のリポジトリが露出したことで、攻撃者にマイティ・キングダムの内部システムの詳細な設計図が渡ったことになる。これは2つの理由で重要だ。第一に、リークされたソースコードは、将来の攻撃で悪用される脆弱性を探し出すために解析される可能性があり、それはスタジオ自身だけでなく、そのコードを基に構築されたあらゆる製品にも及ぶ。第二に、盗まれたリポジトリは二重恐喝スキームのてことして頻繁に使われる。攻撃者は、会社がバックアップから自社システムを復旧するかどうかに関係なく、身代金が支払われない限りデータを公開または競売にかけると脅迫するのである。

このパターンは、ゲーム業界をはるかに超えたさまざまな業界でますます一般的になってきている。ランサムウェア攻撃者は、今月初めに報じられた英国およびスイス政府のデータ侵害に見られるような政府機関から、中国のサイバー攻撃に関連するIBMイタリア子会社の侵害として記録された多国籍大企業に関連するIT子会社に至るまで、あらゆる対象を標的にしてきた。標的が公的機関であれ民間のゲームスタジオであれ、窃取に続いて恐喝を行うという基本的な手口は驚くほど一貫している。

誰も語らないプライバシーの側面

この事件に関する報道のほとんどは、当然のことながらマイティ・キングダムのゲームに対する知的財産リスクに焦点を当てている。しかし、指摘に値するプライバシー面もある。コードリポジトリは共同作業の場である。誰がいつ何を書いたかが記録されることが多く、開発中に残された実在の従業員やユーザー情報に言及するコメント、設定ファイル、テストデータが含まれることもある。ダイアウルフの窃取主張が事実であれば、それらのリポジトリに偶然保存されていた個人情報を持つすべての人、現職・元従業員、契約業者、ベータテスターなどは、意図された標的ではなかったとしても、間接的に露出する可能性がある。

これは、顧客向けデータベースではなく、ベンダーや内部システムから始まる侵害で繰り返し見られるテーマだ。配送パートナーShipMonkを介したTrezorの侵害は、第三者の侵害が、主要企業が直接管理していなかった顧客データを露出させうることを示した。マイティ・キングダムの状況はその構図を逆転させている。すなわち、これは第一者による侵害だが、個人のプライバシーへの波及効果は、盗まれたリポジトリの実際の内容次第で、同様に現実的であり得るのだ。

これがあなたにとって意味すること

あなたがマイティ・キングダムに関連するプレイヤー、パートナー、または元従業員であっても、内部ソースコードの行方をコントロールすることはほとんどできない。しかし、あなたが関わったことのある企業がランサムウェア事件で名指しされた場合に取るべき賢明な予防策はある：

• マイティ・キングダムのアカウントや関連サービスに関連する、不審なログイン試行やパスワードリセットメールに注意する。
• 現職または元従業員・契約業者であれば、プロジェクトファイルに個人情報が保存されていた可能性を検討し、身分詐称の兆候に注意する。
• この侵害に言及する不審なメールには警戒する。攻撃者はリークのニュースを利用して説得力のあるフィッシングを仕掛けることが多いからだ。
• 可能な限り多要素認証を有効にする。特にゲームプラットフォームや開発者ツールに関連するアカウントでは重要だ。

ランサムウェアグループは、不確実性と緊急性を利用して支払いと注目を引き出そうとする。マイティ・キングダムまたは独立系研究者が正確に何が盗まれたのかを確認するまで、その主張を軽視もせず最悪を想定もせず、適切な注意をもって扱うべきだ。

次の開示に先手を打つ

今回のようなソースコード侵害は、データ保護が顧客データベースだけの問題ではないことを思い出させる。開発パイプライン、内部リポジトリ、従業員の認証情報は、てこを求めるランサムウェア運用者にとってますます魅力的な標的になっている。リークされた警察官データやその他の機密リポジトリを含む事件が続々と表面化する中、あらゆる規模の組織への教訓は同じだ。開発環境に保存されているものを監査し、不要なアクセスを制限し、露出した認証情報やリポジトリは最終的にリークサイトに載る可能性があると想定することだ。

今のところ、マイティ・キングダムに関係するすべての人は、公式の最新情報に注目し、ダイアウルフグループの主張を未確認だが注視に値するものとして扱うべきである。