Valve, компанія, що стоїть за Steam та одними з найвпливовіших ігор в історії ПК-геймінгу, підтвердила масштабний витік даних, що охопив 12 ТБ внутрішніх файлів. Але на відміну від заголовків про зломи, які зазвичай домінують у новинах ігрової індустрії, цей випадок не був спричинений хакером, який прорвав захист. Він став наслідком публічної кінцевої точки, яка залишалася відкритою протягом приблизно десяти років, тихо витікаючи внутрішні збірки та активи, датовані 2003–2013 роками.

Що саме виявив витік Valve

Згідно зі звітами, витік даних охоплює внутрішні ігрові збірки та активи розробки, що охоплюють десять років історії Valve. Це не дані облікових записів клієнтів чи платіжна інформація у традиційному розумінні розкриття зламу. Натомість це скарбниця внутрішніх матеріалів розробки: такі файли, які показують, як створювалися, тестувалися та вдосконалювалися ігри за зачиненими дверима.

Для компанії, настільки скритної щодо свого процесу розробки, як Valve, це все одно значний витік. Внутрішні збірки можуть розкрити невипущений контент, скасовані функції, фрагменти вихідного коду та методи розробки, які ніколи не призначалися для публічного перегляду. Лише масштаб — 12 ТБ — робить це одним із найбільших розкритих внутрішніх витоків даних в ігровій індустрії за останні роки.

Як публічна кінцева точка, а не злом, спричинила десятирічний витік

Найважливіша деталь у цій історії — не обсяг даних. Це причина. Cybernews повідомило, що цей витік виник через публічну кінцеву точку, а не через вторгнення, фішингову кампанію чи цілеспрямовану атаку. Простими словами, це означає, що дані, ймовірно, були доступні кожному, хто знав, куди дивитися, і розміщувалися на інфраструктурі, яка мала бути обмеженою, але не була.

Ця деталь важлива, оскільки вона змінює рамки всієї події. Не було витонченого супротивника, якого можна звинуватити, жодної групи програм-вимагачів, яка вимагала б оплату, жодних доказів зламу в тому розумінні, яке зазвичай уявляють. Натомість витік, схоже, сягає корінням у помилку в конфігурації, яку не помічали або не виправляли роками. Десять років — це тривалий час для чутливих внутрішніх даних, які залишаються в межах досяжності кожного, хто натрапив на правильну адресу.

Це саме той випадок, який у звітах про інциденти відрізняє неправильну конфігурацію від зламу, навіть якщо практичний результат для даних може бути не менш серйозним.

Чому витоки через неправильну конфігурацію важливі так само, як і складні атаки

Спокусливо ставитися до інцидентів із неправильною конфігурацією як до менш тривожних, ніж гучні зломи. Немає злочинної групи, яку можна назвати, жодної записки з вимогою викупу, жодного оголошення в даркнеті, на яке можна вказати. Але таке формулювання применшує ризик. Публічна кінцева точка, залишена відкритою на роки, — це, ймовірно, більш стійкий збій, ніж одиничне успішне вторгнення, оскільки вона представляє постійну прогалину, а не разову подію.

Така модель проявляється в різних галузях, а не лише в іграх. Нещодавно група програм-вимагачів, яка називає себе Unsafe, заявила про злом Deutsche Bank — це зовсім інший тип інциденту за участю фінансової установи та злочинця, який активно використовує викрадені дані. Порівняйте це з ситуацією Valve, де жодному атакуючому не потрібно було робити нічого, окрім як знайти викриту адресу. Обидва інциденти підривають довіру користувачів до платформ, які зберігають чутливі дані, але вони походять із протилежних напрямків: один через зловмисні наміри, інший через те, що базова гігієна безпеки виявилася недостатньою. Для компаній, які зберігають платіжні дані, особисту інформацію та облікові дані, як Steam для мільйонів користувачів, обидва типи збоїв заслуговують однакової уваги.

Що це означає для вас

Якщо ви користувач Steam, негайний висновок полягає в тому, що цей конкретний витік зосереджений на внутрішніх файлах розробки, а не на облікових даних чи платіжних даних. У звітах немає жодних вказівок на те, що паролі облікових записів Steam, фінансова інформація чи особисті дані користувачів були частиною цього конкретного витоку. Тим не менш, такі інциденти є корисним нагадуванням про те, що навіть великі, добре забезпечені ресурсами компанії можуть залишати чутливі системи незахищеними протягом тривалого часу, і ніхто цього не помітить.

Для звичайних користувачів практична відповідь та сама, незалежно від того, хто спричинив конкретний витік. Тримайте свій обліковий запис Steam захищеним за допомогою надійного унікального пароля та двофакторної автентифікації. Будьте обережні з фішинговими спробами, які можуть намагатися скористатися заголовками про витоки, оскільки шахраї часто використовують такі новини, щоб імітувати офіційні повідомлення. І слідкуйте за офіційними каналами Valve на предмет будь-яких подальших заяв, оскільки компанії іноді публікують додаткові деталі, коли розслідування таких витоків триває.

Загальна картина

Неправильна конфігурація витоку даних Valve — це нагадування про те, що не кожен витік даних потребує хакера. Іноді найбільший ризик для користувачів платформи — це не злочинець, який намагається зламати систему, а проста помилка, яку не виправляли роками. Оскільки все більше нашого особистого та фінансового життя переходить на такі платформи, як Steam, інциденти на кшталт цього, а також окремий злом Deutsche Bank, показують, що довіра до цих систем залежить від послідовних практик безпеки, а не лише від захисту від рішучих атакуючих. Інформування про те, як трапляються такі інциденти, а не лише про те, які дані були викриті, — один із найкращих способів, за допомогою якого користувачі можуть притягувати платформи до відповідальності.