Данные Nintendo украдены в результате кибератаки на партнера
Nintendo of America подтвердила BleepingComputer, что данные были украдены из стороннего сервиса TinyPulse, который использовался для внутренних опросов. Компания подчеркнула, что ее собственные системы не пострадали от атаки.
Что произошло
Гигант игровой индустрии Nintendo оказался в центре новостей о кибербезопасности. Однако этот инцидент не из тех, что мы видим часто. Nintendo of America сделала специальное заявление для новостного сайта BleepingComputer, специализирующегося на технологиях и кибербезопасности, подтвердив, что компания пострадала от утечки данных. Суть проблемы заключается не в собственных серверах или сетевой инфраструктуре Nintendo. Источником проблемы является сторонний сервис, используемый во внутренних операциях компании, — TinyPulse.
TinyPulse — это платформа для проведения опросов, которую компании используют для измерения удовлетворенности и сбора отзывов сотрудников. Nintendo, как и многие другие современные компании, использовала такой сервис, чтобы держать руку на пульсе настроений своих сотрудников и улучшать корпоративную культуру. Именно этот сервис подвергся кибератаке, и злоумышленники получили доступ к данным, хранящимся на платформе. Согласно заявлению Nintendo, эти данные включали их собственную информацию из опросов. Эта ситуация еще раз подчеркивает риск, который становится все более важным в современном деловом мире: риск, связанный с цепочкой поставок или третьими сторонами. Независимо от того, насколько надежны собственные брандмауэры компании, уязвимость в другой компании, с которой она сотрудничает или чьими услугами пользуется, может косвенно затронуть и ее саму. Случай с Nintendo является наглядным примером того, как самое слабое звено в этой цепи может поставить под угрозу всю структуру.
Захваченные данные
Самый важный аспект утечки — какие именно данные были украдены. Согласно заявлению Nintendo для BleepingComputer, захваченные злоумышленниками данные описываются как «данные опросов», собранные через платформу TinyPulse. Это довольно широкое определение, но его содержание можно предположить, исходя из природы сервиса. Платформы, подобные TinyPulse, обычно собирают мнения сотрудников о их рабочем месте, руководителях, политике компании и общем уровне удовлетворенности. Эти опросы часто проводятся анонимно, чтобы сотрудники могли выражать свое мнение более свободно.
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →Не было сделано четкого заявления о том, к каким конкретно опросам относятся украденные данные и содержат ли они персонально идентифицируемую информацию (PII). Однако такие данные опросов, хотя на первый взгляд и не кажутся такими же опасными, как финансовые данные или информация о клиентах, могут быть весьма конфиденциальными. Из этих данных можно извлечь информацию о внутренней динамике компании, моральном духе сотрудников, потенциальных проблемах в управлении и намеках на стратегические планы. Если данные не анонимны или содержат метаданные, которые могут нарушить анонимность, мнения конкретных сотрудников также могут быть раскрыты. Это может как подорвать внутреннюю атмосферу доверия, так и быть использовано конкурирующими фирмами или злоумышленниками. Nintendo воздержалась от предоставления более подробной информации о характере украденных данных, поэтому неопределенность в отношении количества пострадавших сотрудников или размера набора данных сохраняется.
Как произошла атака
Перейдем к технической стороне инцидента. Атака не была направлена непосредственно на Nintendo. Целью была компания, предоставляющая сервис TinyPulse, дочерняя компания WebMD. Согласно отчету BleepingComputer, атака была совершена на системы TinyPulse, и Nintendo пострадала косвенно. Технические детали того, как именно произошла атака, какая уязвимость безопасности была использована или как долго злоумышленники имели доступ к системе, пока не были обнародованы.
Обычно такие атаки на третьи стороны происходят с использованием таких методов, как неправильно настроенные облачные серверы, уязвимости нулевого дня (zero-day) в программном обеспечении, слабые механизмы аутентификации или компрометация учетных данных уполномоченного сотрудника с помощью фишинговых атак. Однако, поскольку ни Nintendo, ни компания, управляющая TinyPulse, не сделали конкретных заявлений, комментировать вектор данной атаки было бы чистой спекуляцией. Единственный известный факт заключается в том, что злоумышленникам удалось обойти защиту TinyPulse и получить доступ к данным клиентов, включая данные опросов Nintendo. Этот инцидент служит суровым напоминанием о том, что безопасность поставщика услуг равносильна безопасности всех его клиентов.
Кто пострадал
Непосредственно пострадавшими от этой утечки являются сотрудники Nintendo of America. Данные, предоставленные персоналом, участвовавшим во внутренних опросах удовлетворенности и обратной связи, теперь находятся в руках третьих лиц. Анонимность данных станет решающим фактором в определении масштаба последствий. Если данные могут быть связаны с личной информацией, сотрудники, участвовавшие в этих опросах, потенциально могут оказаться в зоне риска.
Косвенно пострадала сама Nintendo. Хотя компания подчеркивает, что ее собственные системы в безопасности и основные операции не затронуты, упоминание ее имени в связи с утечкой данных наносит ущерб репутации бренда. Надежность может быть поставлена под сомнение клиентами и деловыми партнерами. Геймеры или владельцы консолей Nintendo не пострадали напрямую от этого инцидента. Украденные данные не включают данные клиентов, такие как учетные записи игроков, информация о кредитных картах или игровые сохранения. Утечка полностью связана с внутренними операциями компании. Поэтому, если вы являетесь пользователем Switch, в настоящее время нет причин для беспокойства.
Что вы можете сделать
Действия, которые вы можете предпринять в такой ситуации, зависят от того, кто вы. В связи с характером инцидента — а именно, тем, что украденные данные являются опросами сотрудников — для основной массы клиентов Nintendo не требуется никаких немедленных действий.
- Для геймеров Nintendo: Эта утечка не затрагивает ваши игровые аккаунты или личные данные. Тем не менее, в качестве хорошей практики гражданской кибербезопасности всегда полезно включить двухфакторную аутентификацию (2FA) в вашей учетной записи Nintendo. Это сделает ваш аккаунт более защищенным от будущих и не связанных с этим инцидентом атак.
- Для сотрудников Nintendo: Если вы являетесь сотрудником Nintendo и участвовали в этих опросах, рекомендуется проявлять осторожность. Следите за официальными объявлениями от отдела кадров или службы безопасности вашей компании. Хотя неясно, содержат ли данные личную информацию, будьте бдительны в отношении подозрительных электронных писем или сообщений. Злоумышленники могут использовать полученную внутреннюю информацию для создания более убедительных целевых фишинговых атак (spear phishing).
- Для других компаний: Этот инцидент служит важным уроком для всех компаний. Если ваша компания использует программное обеспечение или услуги третьих сторон, пересмотрите стандарты безопасности этих партнеров. Убедитесь, что ваши контракты с ними охватывают вопросы безопасности данных и обязанности по уведомлению об утечках. Помните, что самое слабое звено в вашей цепочке поставок — это ваша безопасность.
Что говорит компания
После того, как инцидент стал достоянием гласности, Nintendo of America проявила проактивный подход и сделала заявление для BleepingComputer. Это заявление было крайне важным для прояснения ситуации и снятия опасений. В заявлении представителя компании выделялись два ключевых момента.
Во-первых, Nintendo недвусмысленно подтвердила, что утечка данных произошла у стороннего поставщика услуг, TinyPulse, и что в результате были украдены их собственные данные опросов. Это позитивный шаг с точки зрения прозрачности. Вместо того чтобы отрицать или пытаться скрыть проблему, они признали ее.
Второй и, возможно, самый важный момент — это акцент Nintendo на том, что ее собственные системы не пострадали от этой атаки. В заявлении четко говорилось: «Сети или системы Nintendo не были затронуты этим инцидентом». Это было сделано для того, чтобы подчеркнуть, что утечка произошла не из-за уязвимости в собственной инфраструктуре безопасности Nintendo, а полностью из-за проблемы в системах внешнего партнера. Таким образом, компания стремится успокоить своих клиентов и инвесторов и донести мысль о том, что инцидент не представляет угрозы для ее основной деятельности. На данный момент публичных заявлений от TinyPulse или ее материнской компании WebMD по этому поводу не поступало.