L’empresa japonesa de videojocs ha confirmat que ha patit una filtració mitjançant un tercer.

Un ciberdelinqüent que es fa dir ShadowByte$ assegurava fa uns dies en un fòrum famós del web fosc haver extret aproximadament 859 MB de dades corporatives de Nintendo i demanava a la firma nipona un rescat valorat en 2 milions de dòlars. 

L’actor d’amenaces va publicar mostres diferents per demostrar que no farolejava i que el seu anunci era veritable.  

Segons aquestes, el pirata informàtic hauria obtingut noms d’empleats i adreces de correu electrònic corporatives, anàlisis internes i dades d’informes, enquestes a empleats i comentaris sobre el seu compromís, informes exportats, mètriques d’exercici organitzacional, com també documentació de planificació interna i registre del programa. 

Els investigadors de Cybernews han revisat les mostres publicades per l’atacant i han trobat quelcom que sembla informació relacionada amb recursos humans, inclosos qüestionaris per a empleats, comentaris sobre el lloc de treball i dades d’enquestes internes.

El ciberdelinqüent assegura que alguns registres abasten des del 2016 fins a l’actualitat, cosa que també han constatat els experts de l’esmentada pàgina. Igualment, també han pogut identificar algunes persones participants en les enquestes que encara treballen per a Nintendo, cosa que atorga credibilitat a la mostra (o almenys a una part d’aquesta).

Des de la firma de videojocs han reconegut haver patit una bretxa de dades, però han aclarit que aquesta no s’ha produït directament sinó indirectament mitjançant un proveïdor. 

Sembla que el forat de seguretat s’hauria produït a TinyPulse, una plataforma de participació dels empleats que fan servir les organitzacions per recopilar comentaris anònims de la força laboral i mesurar la satisfacció de la plantilla. 

Altres incidents

Nintendo ha patit diversos incidents de ciberseguretat rellevants durant els darrers anys. El 2020, la creadora de Super Mario va reconèixer el compromís d’uns 300.000 comptes d’usuaris després d’un atac que va aprofitar credencials robades i l’antic sistema Nintendo Network ID (NNID). 

Aquest mateix any també va sortir a la llum l’anomenat Nintendo Gigaleak, una de les filtracions més grans de la història del videojoc, que va exposar codi font, eines de desenvolupament i documentació interna de consoles i jocs clàssics de la firma japonesa.

Més recentment, l’ecosistema de l’empresa nipona ha estat afectada per incidents relacionats amb tercers i proveïdors. El 2024, Game Freak, estudi responsable de Pokémon, va patir una bretxa important que va exposar dades d’empleats i informació sobre projectes futurs. I a aquests successos a la cadena de subministrament s’afegeix el que ens ocupa avui.