Компьютерные игры захватили мир — думаю, у вас точно есть знакомый, который регулярно зависает в новой «кске», грабит банки в «гта» или гоняет на крутых спорткарах в «форзе».
— Бред какой-то. Я погуглил «огонь», «когти», «летает», «ворует», «девственниц» и «золото», и все ведет в одно место.
— Куда?
— На фансайты Warcraft.
Игровая индустрия — весьма прибыльный бизнес. Игры не «тухнут», как помидоры, новый тираж с дисками — спасибо технологиям — издавать не надо. Игры можно продавать бесконечно долго, лишь бы нашелся покупатель.
Урвать свой кусок пирога хотят и злоумышленники. Представляете, сколько миллионов вечнозеленых может потерять студия, если исходный код ее игры всплывет где-то на теневом форуме?
По этой причине студии зачастую стараются «замять» инцидент. Тем не менее, информация о громких взломах все равно всплывает и становится достоянием общественности.
Чем выделяются взломы игровых студий на фоне других атак? По какой причине выгоднее атаковать игровую студию, чем банк? Давайте разбираться.
Это «ж-ж-ж» — неспроста!
Сейчас в мире сотни тысяч видеоигр – точное количество определить сложно, и оно постоянно растёт. Россия входит в топ-5 стран по потреблению игрового контента: игры затягивают красочностью и захватывающими сюжетами, у людей появляются хорошие друзья по ту сторону монитора.
Игра — это идеальная модель работы. Потому что в момент игры человек свободен, увлечен и счастлив.
«Прокачанный» аккаунт представляет собой большую ценность. Его стоимость может доходить до десятков, а то и сотен тысяч рублей. Поэтому хакеры стремятся всеми правдами и неправдами завладеть учетной записью. Сюда могут входить как методы социальной инженерии, так и стандартный подбор пароля.
Впрочем, игровые студии стараются защитить игроков от потери аккаунта. В некоторых игровых клиентах процесс аутентификации мало отличается от процесса получения доступа к секретной информации: логин, пароль, письмо с почты, код из СМС — до проверки сетчатки глаза дело пока не дошло. Но даже все эти меры не всегда спасают.
Рынок краденных аккаунтов начал стремительно расти в 2020 году, когда началась пандемия, и люди были вынуждены сидеть по домам.
Продвинутые злоумышленники идут дальше и ищут уязвимости не в людях, а в самом продукте. Так стало известно об RCE в CS:GO, позволяющей осуществлять выполнение произвольного кода на вашей системе. У этой игры целых 326 миллионов (!) загрузок, а ежедневно заходит почти миллион человек.
Давайте ломать издателя
Игроки, конечно, цель хорошая, но на «Бентайгу» так все равно не заработаешь... Нужна рыба крупнее.
Примерно с такими мыслями в том же 2020 году начались массовые атаки на игровые студии. Казалось бы, айтишники по ту сторону баррикад должны были быть готовы к такому развитию событий. А вот и нет. Игровым студиям не нужно соблюдать множество требований по ИБ, которые требуют от банков, заводов, крупных магазинов.
Если студия выпускает удачный проект, если он «стреляет», то нанимается больше разработчиков, дизайнеров, аналитиков, но не безопасников. Это приводит к стремительному росту компании при сохранении, мягко говоря, нулевого уровня защищенности. Наконец, хакеров привлекает выручка. В 2021 году игровой рынок оценивался в 198,4 миллиарда долларов, ожидается его рост до 339,95 миллиардов к 2027 году.
Кто был атакован
Множество именитых студий подвергались атакам. Здесь и утечка от CD Projekt RED , взлом Electronic Arts , слив GTA 6 (бедного хакера-школьника нашли и поместили в больницу до конца жизни), публикация исходных кодов GTA 5 , атака на Activision. Как вы понимаете, список можно продолжать бесконечно долго.
Как защититься
Если у вас своя студия, то в ход вступает множество неочевидных нюансов. Нам нужно предотвратить взлом:
· Пользователей;
· Игры;
· Компании.
Такая проблема требует комплексного решения. Следует внедрить мультифакторную аутентификацию, применить средства для антиотладки, обучить штат сотрудников, провести внутренние фишинговые кампании для проверки персонала, осуществить Attack Surface Mapping. В общем, та еще головная боль.
Если вы рядовой пользователь, который просто хочет отдохнуть после тяжелого рабочего дня, то все, к счастью, намного проще. Тут методы защиты ничем не отличаются от обычных правил цифровой гигиены: не ставьте непонятно что от непонятно кого и ничего не говорите непонятно кому про непонятно что :D