สตูดิโอเกมชื่อดังของออสเตรเลียถูกเปิดเผยในเหตุการณ์รั่วไหลของแรนซัมแวร์

Mighty Kingdom สตูดิโอพัฒนาเกมในเมืองแอดิเลด ถูกเปิดเผยว่าตกเป็นเหยื่อของกลุ่มแรนซัมแวร์ Direwolf ตามรายงานข่าวเกี่ยวกับเหตุการณ์ครั้งนี้ กลุ่มดังกล่าวอ้างว่าขโมยข้อมูลคลังโค้ดจากสตูดิโอมากกว่า 260 รายการเมื่อวันที่ 17 สิงหาคม เช่นเดียวกับการเปิดเผยข้อมูลของแรนซัมแวร์ส่วนใหญ่ คำกล่าวอ้างดังกล่าวปรากฏครั้งแรกบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลของกลุ่ม ซึ่งเป็นกลวิธีกดดันทั่วไปที่ใช้บังคับให้เหยื่อยอมจ่ายเงินก่อนที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่หรือขาย

Mighty Kingdom เป็นหนึ่งในผู้พัฒนาเกมอิสระรายใหญ่ของออสเตรเลีย และการละเมิดความปลอดภัยในระดับนี้ทำให้เกิดคำถามที่ไปไกลกว่าปัญหาไอทีภายในของบริษัทเพียงอย่างเดียว เมื่อคลังซอร์สโค้ดของสตูดิโอเกมถูกบุกรุก ผลกระทบสามารถแตะถึงผู้เล่น คู่ค้า และพนักงาน alike แม้ว่าข้อมูลส่วนบุคคลของพวกเขาจะไม่ใช่เป้าหมายหลักก็ตาม

ทำไมการขโมยซอร์สโค้ดจึงเป็นการละเมิดข้อมูลที่แตกต่างออกไป

การละเมิดข้อมูลส่วนใหญ่ที่พาดหัวข่าวเกี่ยวข้องกับบันทึกข้อมูลลูกค้า: ชื่อ อีเมล รายละเอียดการชำระเงิน การละเมิดซอร์สโค้ดเป็นเรื่องที่แตกต่างออกไป แต่ก็อาจไม่ร้ายแรงน้อยกว่าไม่แพ้กัน คลังโค้ดมักประกอบด้วยอะไรมากกว่าแค่ตรรกะของเกม พวกมันอาจมีข้อมูลรับรองที่ฝังอยู่ คีย์ API เอกสารภายใน ท่อส่งการ build และบางครั้งข้อมูลส่วนบุคคลของพนักงานหรือผู้รับเหมาที่ commit โค้ดในนามของตนเอง

หากคำกล่าวอ้างของกลุ่ม Direwolf ถูกต้อง การเปิดเผยคลังโค้ดกว่า 260 รายการอาจมอบพิมพ์เขียวโดยละเอียดของระบบภายในของ Mighty Kingdom ให้แก่ผู้โจมตี เรื่องนี้สำคัญด้วยสองเหตุผล ประการแรก ซอร์สโค้ดที่รั่วไหลสามารถถูกนำไปวิเคราะห์หาช่องโหว่ที่อาจถูกใช้ประโยชน์ในการโจมตีในอนาคต ไม่เพียงแต่ต่อสตูดิโอเท่านั้น แต่รวมถึงผลิตภัณฑ์ใดก็ตามที่สร้างขึ้นบนโค้ดนั้น ประการที่สอง คลังโค้ดที่ถูกขโมยมักถูกใช้เป็นเครื่องต่อรองในแผนขู่กรรโชกสองชั้น (double extortion) ซึ่งผู้โจมตีข่มขู่จะเผยแพร่หรือประมูลข้อมูล เว้นแต่จะจ่ายค่าไถ่ โดยไม่คำนึงว่าบริษัทจะกู้คืนระบบของตนเองจากข้อมูลสำรองได้หรือไม่

รูปแบบนี้เริ่มคุ้นเคยมากขึ้นในอุตสาหกรรมที่กว้างไกลเกินกว่าวงการเกม ผู้ดำเนินการแรนซัมแวร์กำหนดเป้าหมายทุกอย่างตั้งแต่องค์กรภาครัฐไปจนถึงผู้ให้บริการโครงสร้างพื้นฐานที่สำคัญ ดังที่เห็นใน การละเมิดข้อมูลของรัฐบาลสหราชอาณาจักรและสวิตเซอร์แลนด์ ที่รายงานในช่วงต้นเดือนนี้ และแม้แต่บริษัทลูกด้านไอทีที่เชื่อมโยงกับบริษัทข้ามชาติรายใหญ่ ดังที่บันทึกไว้ใน การละเมิดบริษัทลูก IBM อิตาลีที่เชื่อมโยงกับการปฏิบัติการไซเบอร์ของจีน ไม่ว่าเป้าหมายจะเป็นหน่วยงานภาครัฐหรือสตูดิโอเกมเอกชน แนวทางเบื้องหลังของการขโมยข้อมูลแล้วขู่กรรโชกก็ดูสอดคล้องกันอย่างน่าทึ่ง

มุมมองความเป็นส่วนตัวที่ไม่มีใครพูดถึง

การรายงานข่าวส่วนใหญ่เกี่ยวกับเหตุการณ์นี้มุ่งเน้นไปที่ความเสี่ยงด้านทรัพย์สินทางปัญญาต่อเกมของ Mighty Kingdom อย่างเข้าใจได้ แต่ก็มีมิติด้านความเป็นส่วนตัวที่ควรชี้ให้เห็นด้วยเช่นกัน คลังโค้ดเป็นพื้นที่ทำงานร่วมกัน พวกมันมักบันทึกว่าใครเขียนอะไร เมื่อไหร่ และบางครั้งมีความคิดเห็น ไฟล์การกำหนดค่า หรือข้อมูลทดสอบที่อ้างอิงข้อมูลพนักงานหรือผู้ใช้จริงที่หลงเหลืออยู่ในระหว่างการพัฒนา หากคำกล่าวอ้างการขโมยข้อมูลของ Direwolf เป็นจริง ใครก็ตามที่มีรายละเอียดส่วนบุคคลถูกจัดเก็บไว้ในคลังโค้ดเหล่านั้นโดยบังเอิญ ไม่ว่าจะเป็นพนักงานปัจจุบันหรืออดีต ผู้รับเหมา หรือผู้ทดสอบเบต้า อาจถูกเปิดเผยโดยอ้อมแม้ว่าพวกเขาจะไม่เคยเป็นเป้าหมายที่ตั้งใจก็ตาม

นี่คือธีมที่เกิดขึ้นซ้ำๆ ในการละเมิดที่เริ่มต้นจากผู้จำหน่ายหรือระบบภายในมากกว่าฐานข้อมูลที่เกี่ยวข้องกับลูกค้า การละเมิดของ Trezor ที่เกี่ยวข้องกับ ShipMonk พันธมิตรด้านการจัดส่ง แสดงให้เห็นว่าการประนีประนอมจากบุคคลที่สามสามารถเปิดเผยข้อมูลลูกค้าที่บริษัทหลักไม่เคยควบคุมโดยตรงได้อย่างไร สถานการณ์ของ Mighty Kingdom พลิกบทบาทนั้น: เป็นการประนีประนอมจากบุคคลที่หนึ่ง แต่ผลกระทบต่อความเป็นส่วนตัวของบุคคลอาจเป็นจริงพอๆ กัน ขึ้นอยู่กับว่าคลังโค้ดที่ถูกขโมยมีอะไรอยู่จริง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นผู้เล่น คู่ค้า หรืออดีตพนักงานที่เกี่ยวข้องกับ Mighty Kingdom ไม่มีอะไรมากที่คุณจะควบคุมสิ่งที่เกิดขึ้นกับซอร์สโค้ดภายในได้ แต่ก็มีข้อควรระวังที่สมเหตุสมผลที่ควรทำทุกครั้งที่บริษัทที่คุณเคยมีปฏิสัมพันธ์ด้วยถูกเปิดเผยในเหตุการณ์แรนซัมแวร์:

  • สังเกตความพยายามเข้าสู่ระบบที่ผิดปกติหรืออีเมลรีเซ็ตรหัสผ่านที่เชื่อมโยงกับบัญชี Mighty Kingdom หรือบริการที่เชื่อมโยง
  • หากคุณเป็นพนักงานหรือผู้รับเหมาปัจจุบันหรืออดีต ให้พิจารณาว่าข้อมูลส่วนบุคคลใดอาจถูกจัดเก็บไว้ในไฟล์โปรเจกต์หรือไม่ และติดตามสัญญาณการนำข้อมูลประจำตัวไปใช้ในทางที่ผิด
  • ระวังอีเมลที่ไม่ได้รับแจ้งที่อ้างถึงการละเมิดนี้ เนื่องจากผู้โจมตีมักใช้ข่าวการรั่วไหลเพื่อสร้างอีเมลฟิชชิ่งที่น่าเชื่อถือ
  • เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่เป็นไปได้ โดยเฉพาะบัญชีที่เชื่อมโยงกับแพลตฟอร์มเกมหรือเครื่องมือนักพัฒนา

กลุ่มแรนซัมแวร์พึ่งพาความไม่แน่นอนและความเร่งด่วนเพื่อเรียกค่าไถ่และความสนใจ จนกว่า Mighty Kingdom หรือนักวิจัยอิสระจะยืนยันสิ่งที่ถูกขโมยอย่างแน่ชัด ให้ปฏิบัติต่อคำกล่าวอ้างด้วยความระมัดระวังที่เหมาะสม ทั้งอย่าปฏิเสธและอย่าคิดว่ามันแย่ที่สุด

ก้าวให้เร็วกว่าการเปิดเผยครั้งถัดไป

การละเมิดซอร์สโค้ดเช่นนี้เป็นเครื่องเตือนใจว่าการปกป้องข้อมูลไม่ใช่แค่เรื่องฐานข้อมูลลูกค้าเท่านั้น ท่อส่งการพัฒนา คลังข้อมูลภายใน และข้อมูลรับรองของพนักงาน เป็นเป้าหมายที่น่าสนใจมากขึ้นสำหรับผู้ดำเนินการแรนซัมแวร์ที่มองหาเครื่องต่อรอง ในขณะที่เหตุการณ์ที่เกี่ยวข้องกับ ข้อมูลตำรวจที่รั่วไหล และคลังข้อมูลที่ละเอียดอ่อนอื่นๆ ยังคงปรากฏขึ้น บทเรียนสำหรับองค์กรทุกขนาดก็เหมือนกัน: ตรวจสอบสิ่งที่จัดเก็บไว้ในสภาพแวดล้อมการพัฒนา จำกัดการเข้าถึงที่ไม่จำเป็น และตั้งสมมติฐานว่าข้อมูลรับรองหรือคลังโค้ดที่เปิดเผยใดๆ อาจไปจบลงบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลในที่สุด

สำหรับตอนนี้ ใครก็ตามที่เกี่ยวข้องกับ Mighty Kingdom ควรจับตาดูการอัปเดตอย่างเป็นทางการจากบริษัทและถือว่าคำกล่าวอ้างของกลุ่ม Direwolf ยังไม่ได้รับการยืนยันแต่คุ้มค่าต่อการติดตามอย่างใกล้ชิด