Atak na forum CD Projekt RED: hakerzy przejęli dane ponad 1,8 mln kont
CD Projekt RED padł ofiarą hakerów, a reakcja na atak pozostawia wiele wątpliwości. Użytkowników powiadomiono lakonicznie i zbyt późno, nieumiejętnie wygaszając zainteresowanie sprawą. Czy faktycznie nie ma się czym przejmować?
Atak sprzed niemal roku
Zdarzenie miało miejsce w marcu 2016 roku na oficjalnym forum CD Projekt RED, gdzie fani mogli czytać o aktualizacjach, planach rozwoju gier czy wymieniać się pomysłami. W rzeczywistości większość z nich korzystała już z nowszej i bezpieczniejszej platformy GOG.com, na którą Redzi zapraszali już od roku. Pierwszy oficjalny komunikat o ataku pojawił się po 9 miesiącach.
14 grudnia w poście na forum jego administrator informował że nie ma rzetelnych dowodów potwierdzających fakt włamania, jednak zachęca użytkowników do profilaktycznej zmiany haseł. Oświadczenie w newsowym subforum CD Projekt RED umknęło uwadze wielu użytkowników, nie wzbudziło również zainteresowania mediów branżowych.
Niejasny rodzaj szyfrowania
Wszystko zmienia się po komunikacie Troya Hunta z serwisu Haveibeenpwned, specjalizującego się w agregowaniu informacji o kradzieżach danych i informowaniu zagrożonych użytkowników. 30 stycznia ujawnił on wyciek niemal 1.9 mln kont z marcowego włamania na forum CD Projekt RED. Ilość danych czyni go jednym z największych ataków hakerskich w branży gier.
Wykradzione informacje to loginy, adresy emailowe oraz hasła, według Troya Hunta zaszyfrowane solonym algorytmem SHA1. Już dzień później do doniesień odniósł się w kolejnym poście administrator pechowego forum. Potwierdził fakt zaistnienia ataku, zaznaczył że forum "nie było aktywnie użytkowane”, a także zapewnił że znacznie poprawiono rozwiązania w zakresie bezpieczeństwa.
Co ciekawe, jako metodę szyfrowania haseł wskazał solony algorytm MD5, deklarując jednocześnie że dzięki temu dane są bezpieczne. W chwili obecnej ciężko więc o całkowitą pewność jaka metoda szyfrowania została użyta.
Niepotrzebny i kosztowny wizerunkowo błąd
To nie jedyny duży wyciek danych uderzający w ostatnim czasie w społeczność graczy. W sierpniu ubiegłego roku celem stało się studio Epic Games, z którego forów wykradziono ok. 800 tys. konta użytkowników. Jeszcze większe straty przyniósł grudniowy atak ransomware na firmę ESEA, organizującą zawody esportowe. W jego wyniku wyciekły dane 1.5 mln kont.
Duże liczby stojące za marcową wpadką CD projekt RED z pewnością nie pomogą marce w kreowaniu wizerunku prestiżowego i nowoczesnego studia. Największe znaczenie ma jednak zachowanie administratorów forum – opieszałe i lekceważące problem, który należało zakomunikować znacznie szybciej i w sposób czytelniejszy niż zachowawczy post w newsach.
Odnosząc się do całej sprawy, CD Projekt Red przedstawił swoje stanowisko: