今天早上刷到這新聞我差點把咖啡噴屏幕上——有一伙自稱ShadowByt3$的黑客,聲稱把任天堂美國分部的員工數(shù)據(jù)給扒了,還開了200萬美元的贖金價碼。我第一反應是:你扒的是游戲源碼也就算了,扒員工調(diào)查問卷是要干嘛???
這事兒發(fā)酵了幾天,咱從頭捋一捋。6月13號,這個ShadowByt3$組織放話出來,說他們搞到了859MB的任天堂員工數(shù)據(jù),里面包括員工全名、銀行流水、員工ID、內(nèi)部報告和分析數(shù)據(jù)。他們給任天堂的截止日期是6月15號,也就是今天必須給回復,不然這些數(shù)據(jù)就要被公開。
![]()
看到“銀行流水”四個字的時候,我心里咯噔一下。雖然859MB在數(shù)據(jù)泄露界不算大——回想2024年寶可夢公司那次被扒的體量,那才叫"巨量泄露"——但如果真涉及員工的銀行信息,這事兒就太操蛋了。打工人何苦為難打工人,有本事你沖游戲源碼去啊。
不過看完技術細節(jié)后,我發(fā)現(xiàn)這事兒比想象中復雜,也比想象中更"雞賊"。這伙人不是直接攻破了任天堂的系統(tǒng),而是走了TINYpulse這個第三方服務的路子。TINYpulse是個啥?它是WebMD Health Services旗下的一款HR工具,專門做企業(yè)內(nèi)部員工敬業(yè)度調(diào)查和反饋收集的。翻譯成人話就是:任天堂用來給員工發(fā)調(diào)查問卷的工具,問大家"最近工作開心嗎""對管理層有啥意見"那種。
黑客攻擊這種第三方服務商,而不是直接硬剛大廠本身,算是現(xiàn)在勒索軟件團伙的常規(guī)操作了。畢竟大廠自己的安全團隊不是吃素的,但外包的那些HR工具、問卷系統(tǒng),安全防護水平就參差不齊了。這波操作有點像你把自己家大門換了十五把鎖,結(jié)果賊從你忘關的陽臺窗戶爬進來了。
更讓我忍俊不禁的是,任天堂美國這邊的回應來得相當快。他們的原話是這樣的:"我們注意到涉及TINYpulse的一個問題,這是任天堂美國用于內(nèi)部員工調(diào)查的第三方服務。任天堂自身的系統(tǒng)沒有被攻破,沒有任何客戶個人信息或財務數(shù)據(jù)被訪問。所涉及的數(shù)據(jù)僅限于一小部分員工的內(nèi)部調(diào)查內(nèi)容,而且大部分信息要追溯到好幾年前。"
劃重點:客戶的財務數(shù)據(jù)沒事兒,任天堂自己的系統(tǒng)沒事兒,泄露的就是一堆舊問卷。任天堂還補了一句,說他們感謝員工愿意分享自己的意見,會認真對待所有反饋并采取行動,目前正在跟服務商一起處理這事。
說實話,看到這兒我已經(jīng)不太緊張了。原來黑客手里捏著的“重磅籌碼”,可能是2019年老員工填的“我覺得公司食堂需要改進一下”。這波勒索多少有點虛張聲勢的意思。
![]()
但說歸說,這事兒有幾個點還是值得較真。第一,不管數(shù)據(jù)大小、新舊,只要是員工真實姓名搭配了銀行流水信息,哪怕只有幾個人,這事兒性質(zhì)就變了。原文確實提到了"bank statements",但現(xiàn)在任天堂的聲明里只說是"內(nèi)部調(diào)查內(nèi)容",這兩者之間的差距需要等后續(xù)報道來澄清。如果真有銀行信息流出,那ShadowByt3$要200萬美元贖金就不是鬧著玩的,而是真的捏住了痛點。
第二,這個TINYpulse作為第三方服務商的角色,本身就值得玩家圈關注。咱們平時討論游戲公司的時候,注意力全在“任天堂服務器穩(wěn)不穩(wěn)”“Steam安不安全”這些話題上,很少有人會想到,一個做員工問卷的HR工具也能成為攻擊入口。這提醒了一個很現(xiàn)實的事:現(xiàn)在游戲公司的數(shù)據(jù)安全,早就不只是自己家圍墻夠不夠高的問題,而是整個供應鏈上每一個環(huán)節(jié)都可能成為突破口。
第三,這事兒跟玩家到底有沒有關系?目前看是沒有的。任天堂已經(jīng)明確說了,玩家個人信息和財務數(shù)據(jù)完全沒被碰到。你賬號里的余額、綁定的信用卡、在eShop買過的游戲,全都沒事兒。所以那些看到標題就想“我是不是得改密碼”的兄弟,可以先放心了。
但這事對任天堂內(nèi)部的影響可能不小。雖然被扒的多半是幾年前的舊問卷,但內(nèi)部調(diào)查這東西,有時候會涉及一些比較敏感的反饋,比如對某個項目的吐槽、對管理層的評價。這些內(nèi)容一旦公開,可能未必涉及什么驚天秘密,但足夠讓當事人尷尬,也足夠成為玩家圈茶余飯后的談資。想想看,如果哪天網(wǎng)上流出“2018年某部門員工集體吐槽項目進度混亂”的問卷記錄,玩家們又會怎么腦補?
目前ShadowByt3$的這個聲明還沒有得到第三方獨立驗證,Technadu的報道也標注了這是"未經(jīng)驗證的數(shù)據(jù)泄露聲稱"。我們給任天堂發(fā)了詢問郵件,到現(xiàn)在還沒有更多細節(jié)更新。2百萬美元的贖金要求,在今天這個截止日到底有沒有被滿足?大概率是沒有的。以任天堂的法務團隊風格,他們寧可走法律程序也不會跟勒索組織談條件。
說到底,這次事件真正有意思的地方在于:它揭示了大廠內(nèi)部安全邊界的一個盲區(qū)。你投入上千萬做網(wǎng)絡安全,結(jié)果員工滿意度調(diào)查的第三方問卷系統(tǒng)成了后門。這種"打地鼠"式的安全博弈,以后只會越來越多。而對我們玩家來說,只要eShop還能正常買游戲,Switch還能正常聯(lián)機,這事兒就只是茶余飯后多了一個段子。畢竟連任天堂自己都說了,被拿走的是"好幾年前"的調(diào)查數(shù)據(jù),這相當于什么呢——相當于有人費半天勁偷到了你三年前的體檢報告,除了知道你那會兒體重有點超標之外,也威脅不了啥。
最后說句公道話,這次事件中任天堂的反應速度和處理透明度確實不差。從收到消息到發(fā)聲明,沒有遮遮掩掩,直接告訴你什么被碰了、什么沒事。在這個動不動就“沉默應對、冷處理”的業(yè)內(nèi),起碼沒把玩家當傻子。至于那200萬美元贖金的事,估計ShadowByt3$得重新評估一下自己手里這堆"老問卷"到底值不值這個價了。
特別聲明:以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.