Vazamentos que viraram chantagem: o padrão por trás da extorsão no mundo dos games

Em meio a vazamentos, muita especulação e expectativa, na última semana de agosto foi divulgado o trailer de quase meia hora de GTA VI. Enquanto o Grupo Hacker CyberLeek não conseguiu suas demandas de protesto, teve seu real objetivo concretizado, sacando aproximadamente 1,5 milhão de reais da sua criptomoeda $CYBERLEEK.Continua após a publicidadeCom este caso aparentemente encerrado após o lançamento na Netflix e o desaparecimento do grupo hacker, vamos entender melhor este processo de chantagem e relembrar outros casos em que a indústria de jogos foi submetida à chantagem.Quando Wolverine virou refém

Imagem: PlayStation/DivulgaçãoEm dezembro de 2023, a Insomniac Games enfrentou um problema muito maior do que descobrir que hackers haviam invadido seus servidores. O grupo responsável pelo ataque tinha em mãos informações sobre funcionários, documentos internos e, principalmente, anos de trabalho em jogos que ainda nem tinham chegado ao público.O pedido era de cerca de US$ 2 milhões. A empresa não pagou. Dias depois, 1,67 TB de informações começaram a aparecer na internet.Entre elas estava Marvel’s Wolverine.A título de comparação e curiosidade, algo semelhante aconteceu na indústria do cinema, em que inclusive este que vos escreve passou justamente por esta situação. Enquanto trabalhávamos com a Sony Pictures, em 2014, houve um roubo de dados e nossos e-mails, telefones e informações pessoais foram expostos no chamado WikiLeaks, no qual várias informações sobre o filme do Homem-Aranha foram divulgadas ao público, inclusive negociações de compra da marca pela Marvel na época.Como um jogo que ainda nem foi lançado pode se transformar em instrumento de chantagem contra o próprio estúdio que o está produzindo?Durante muito tempo, ataques de ransomware funcionavam de uma maneira relativamente simples: os criminosos invadiam uma empresa, bloqueavam seus arquivos e exigiam dinheiro para devolver o acesso. Se a vítima possuísse bons sistemas de backup, poderia restaurar seus dados e reduzir consideravelmente o poder dos invasores.O problema é que os ataques evoluíram. Em vez de apenas bloquear os arquivos, os criminosos passaram também a fazer uma cópia deles antes de criptografar os sistemas. Surge então a chamada dupla extorsão: mesmo que a empresa consiga recuperar tudo por meio de backups, ainda existe a ameaça de que as informações roubadas sejam publicadas caso o resgate não seja pago.Para um estúdio de games, essa ameaça ganha uma dimensão diferente. Um jogo em desenvolvimento reúne anos de trabalho, investimentos milionários e informações cuidadosamente mantidas em segredo até o momento escolhido para sua apresentação. Ter acesso a uma build, ao código-fonte ou aos planos para os próximos lançamentos significa ter nas mãos algo que o estúdio não consegue simplesmente substituir.Continua após a publicidadeO jogo, portanto, não precisa ser sequestrado no sentido tradicional. Basta que alguém consiga copiá-lo antes da hora. A partir desse momento, aquilo que deveria ser o próximo grande lançamento do estúdio também pode se transformar em uma ferramenta para pressioná-lo.Por que games são um alvo tão interessante?Estúdios de games guardam algo particularmente valioso para esse tipo de extorsão: segredos que milhões de pessoas querem conhecer. Código-fonte, jogos ainda não anunciados, personagens, roteiros, builds em desenvolvimento, contratos e roadmaps de vários anos podem estar armazenados nos mesmos sistemas.E existe uma diferença importante em relação a outras indústrias. Se hackers roubarem documentos internos de uma empresa qualquer, talvez seja difícil encontrar alguém interessado em baixá-los. Mas basta aparecer um vídeo inédito de GTA VI, Wolverine ou de outra grande franquia para que o conteúdo se espalhe pela internet em questão de horas.Continua após a publicidadeÉ justamente esse interesse do público que aumenta o poder da ameaça. Para o criminoso, nem sempre é necessário encontrar alguém disposto a comprar os arquivos roubados. A possibilidade de simplesmente publicá-los já pode causar um enorme prejuízo ao estúdio, comprometendo campanhas de marketing, anúncios planejados e até anos de desenvolvimento mantidos em segredo.Não foi só a InsomniacImagem: CD Projekt Red/ Divulgação O caso da Insomniac está longe de ser isolado. Em 2021, a CD Projekt, responsável por Cyberpunk 2077 e The Witcher, sofreu um ataque no qual hackers roubaram códigos-fonte e documentos internos antes de ameaçar divulgá-los. A empresa se recusou a negociar e parte do material acabou circulando pela internet.No mesmo ano, a Electronic Arts teve cerca de 780 GB de dados roubados, incluindo código-fonte de FIFA 21 e ferramentas relacionadas ao motor Frostbite. O caso nem sequer começou como um ransomware tradicional: os dados foram roubados e posteriormente usados em uma tentativa de extorsão, mostrando que os criminosos não precisam mais bloquear os computadores de uma empresa para tentar colocá-la contra a parede.Continua após a publicidadeCapcom e Rockstar também passaram por situações semelhantes. No ataque à Capcom, sistemas foram comprometidos e informações corporativas e pessoais foram roubadas em meio a uma exigência de resgate. Já no caso da Rockstar, responsável por GTA, o invasor chegou a ameaçar divulgar código-fonte enquanto tentava negociar com a empresa.Os métodos e os alvos variam, mas o padrão é cada vez mais reconhecível: o que dá poder aos invasores não é apenas a capacidade de interromper o funcionamento de um estúdio, mas a posse de informações que ele não pode permitir que se tornem públicas.Um vazamento não pode ser restaurado de um backupUma empresa vítima de ransomware pode restaurar servidores, trocar senhas, reinstalar computadores e recuperar arquivos por meio de backups. Mas existe algo que nenhuma dessas medidas consegue recuperar: o segredo depois que ele já chegou à internet.Continua após a publicidadePara um estúdio de games, isso pode significar anos de planejamento expostos de uma só vez. Jogos ainda não anunciados, personagens, roteiros, datas de lançamento e estratégias comerciais podem se tornar públicos muito antes do momento escolhido pela empresa. No caso da Insomniac, por exemplo, o vazamento não revelou apenas informações sobre Wolverine, mas também detalhes sobre projetos e planos futuros do estúdio.Existe ainda outro problema: boa parte do material roubado nunca foi criado para ser visto pelo público. Protótipos, vídeos de testes e versões incompletas podem acabar sendo julgados como se representassem o produto final. Foi o que aconteceu com GTA VI, quando vídeos de uma versão ainda em desenvolvimento circularam pela internet e passaram a ser analisados fora do contexto em que haviam sido produzidos.É por isso que o dano de um vazamento vai muito além da área de TI. Servidores podem ser recuperados e vulnerabilidades corrigidas, mas um estúdio não consegue fazer milhões de pessoas esquecerem aquilo que já viram.E qual o nosso papel nesta equação?Imagem: Kotaku/ ReproduçãoExiste uma razão para ameaçar publicar informações sobre GTA VI ou Wolverine ser tão eficiente: os criminosos sabem que existe um público gigantesco interessado nesse conteúdo. Assim que um vazamento acontece, imagens são compartilhadas, vídeos aparecem nas redes sociais, fóruns analisam cada detalhe e, em poucas horas, aquilo que deveria permanecer dentro do estúdio já se espalhou pela internet.É difícil exigir que milhões de jogadores simplesmente ignorem informações sobre um jogo que esperam há anos. A curiosidade é natural e, muitas vezes, o público sequer sabe a origem daquele vídeo ou imagem que apareceu em sua timeline. Mas é justamente a certeza de que esse conteúdo será consumido e compartilhado que aumenta seu valor como instrumento de extorsão.Quanto maior a franquia e maior a expectativa pelo próximo lançamento, maior pode ser o impacto da ameaça. Nesse sentido, a própria popularidade de um jogo acaba trabalhando contra o estúdio: aquilo que deveria ser seu maior ativo de marketing também ajuda a transformar informações roubadas em uma poderosa moeda de troca.Os hackers não precisam apenas roubar um segredo. Para que a ameaça funcione, precisam saber que haverá milhares de pessoas esperando para vê-lo.Quando o segredo vira o verdadeiro refémImagem: PC Gamer/ DivulgaçãoDurante muito tempo, o maior medo de uma empresa atingida por ransomware era descobrir se conseguiria recuperar seus arquivos. Hoje, para um estúdio de games, existe uma pergunta talvez ainda mais preocupante: o que acontece se todo mundo puder vê-los?Os ataques contra Insomniac, CD Projekt, EA, Capcom e Rockstar mostram que não é mais necessário impedir uma empresa de trabalhar para colocá-la sob pressão. Basta ter em mãos aquilo que ela passou anos tentando manter em segredo.Isso também muda o significado de segurança digital para a indústria. Proteger um estúdio não significa apenas manter seus servidores funcionando ou garantir backups atualizados. Significa proteger jogos que ainda não foram anunciados, estratégias comerciais, dados de funcionários e, principalmente, anos de trabalho que deveriam chegar ao público no momento escolhido por seus criadores.Enquanto houver interesse por essas informações, elas continuarão tendo valor para quem as rouba. E quanto maior a expectativa por um jogo, maior pode ser o poder dessa ameaça.O problema é que recuperar os sistemas não significa recuperar o controle sobre aquilo que foi roubado. Um servidor pode ser restaurado. Uma senha pode ser trocada. Um computador pode ser formatado. Mas um segredo, depois de publicado na internet, não pode ser colocado de volta no servidor.Dito isso, com a publicação do vídeo estendido de gameplay do GTA VI, notamos que, apesar de o CyberLeek ter feito um bom dinheiro com sua criptomoeda, de fato não houve impacto aparente nem no hype, tampouco nas vendas do jogo da Rockstar, comprovando que o nome da empresa não poderia ser mais assertivo.

Aviso importante
Rodrigo “Chips” Scharnberg é colunista do nosso site e as opiniões do artigo não representam, necessariamente, a opinião do Olhar Digital.

Rodrigo “Chips” Scharnberg

É referência em games e advergames – projetos para Disney, Aquiris e Sioux. Consultor na Dan Chips e host Chips Podcast

Ver todos os artigos →

Amazon Prime também é feito para jogadores!

Todo mês, obtenha itens exclusivos, jogos grátis,
uma assinatura gratuita na Twitch.tv e muito mais
com sua assinatura Prime.
Clique aqui para um teste gratuito de 30 dias.