Como as indústria de jogos podem se proteger de ataques cibernéticos

Marcos Paulo Games 26 March 2024

Write a comment

Especialistas explicam como e por que a indústria de videogames é alvo e quais medidas específicas podem tomar para evitar serem vítimas de ataques.

A sabedoria convencional sugere que é uma questão de quando, e não se, sua empresa será alvo de criminosos cibernéticos.

Os funcionários da Insomniac ficaram sofrendo com um dos hacks mais devastadores da história dos jogos , depois que um grupo de ransomware postou 1,67 terabytes de dados na dark web. Em junho passado, hackers atingiram a Blizzard com um ataque distribuído de negação de serviço (DDoS), com jogadores incapazes de acessar Diablo 4 por até 12 horas. Segue-se ataques cibernéticos “constantes” contra o desenvolvedor do Stalker 2, GSC Game World , um ataque de ransomware contra a Riot , um contra a Ubisoft descoberto em março de 2022, e inúmeros outros exemplos.

À medida que a indústria dos videojogos continua a crescer, ela também se torna cada vez mais um alvo viável. Seja por dinheiro, vantagem competitiva ou até mesmo política, os alvos dos hackers estão colocando grandes nomes e estúdios AAA de joelhos. Uma pesquisa histórica da Akami publicada no ano passado mostrou que os ataques a aplicações web na indústria de jogos cresceram 167% entre 2021 e 2022 – com base em seu trabalho anterior descobrindo riscos de segurança na indústria de jogos.

Mas este é apenas um exemplo de método de entrada. Na verdade, os desenvolvedores, editores e outros enfrentam riscos e variantes de ataque que as empresas em toda a economia não enfrentam. Eles devem enfrentar uma variedade de métodos de ataque e tomar medidas específicas para intensificar seus esforços de segurança cibernética antes de se tornarem vítimas de outro ataque cibernético que ganhará as manchetes.

Este artigo explora as razões por trás dos ataques cibernéticos à indústria de jogos, os tipos de ataques que as empresas de jogos podem enfrentar e como evitá-los ou minimizar o impacto.

O que torna a indústria de jogos exposta de forma única?

Ver toda a indústria como uma entidade homogénea é um erro, uma vez que existe uma grande variação dentro dela, não apenas pelo papel na cadeia de abastecimento mais ampla, mas também pela dimensão do negócio. Existem, no entanto, riscos únicos aos quais as empresas de jogos estão expostas.

Os jogadores são os principais alvos

“Imagine uma plataforma em que milhões de usuários gastam dinheiro em skins ou outras melhorias de personagens, e os hackers obtêm acesso aos dados de seus cartões de crédito, aos nomes e endereços desses indivíduos e às suas datas de nascimento”, diz Bobby, especialista em detecção de ameaças da SonicWall. Cornwell. “Esses hackers poderiam então não apenas exigir resgate do desenvolvedor do jogo, mas também de cada titular de conta individual.”

Will Richmond-Coggan, sócio da Freeths, também aponta para “um grupo autosselecionado de vítimas” que são “provavelmente mais ricas do que a média”, especialmente no que diz respeito aos volumes de microtransações que vemos. “Você já está olhando para pessoas que estão dispostas a gastar. Você tem interações que são inteiramente digitais, o que significa que existe a capacidade de comprometer diferentes estágios do relacionamento de uma forma que as transações físicas sejam mais desafiadoras. "

As empresas de jogos são centradas na tecnologia

A tecnologia também está no centro de como a indústria opera. As empresas de jogos estão expostas aos mesmos problemas que outras entidades online, afirma Andrew Whaley, diretor técnico sênior da Promon, mas existem ameaças diferenciadoras. “Quando os funcionários começam a trabalhar em casa, os vetores de ataque aumentam”, diz ele. “[Mas] a indústria de jogos tem um grave problema de cracking, que francamente assola toda a indústria de software.

“No entanto, existem muitos aspectos únicos na segurança cibernética dos jogos, como mecanismos anti-cheat. Os jogos muitas vezes dependem fortemente da proteção de endpoint e da blindagem de aplicativos para proteger o código do jogo, especialmente contra pirataria, mas também contra manipulação ou cheats incorporados ao cliente. "

Você pode associar isso ao fato de que as empresas de jogos dependem fortemente de plataformas de nuvem pública e híbrida, de acordo com Danwei Tran Luciani, vice-presidente interino de produto da Detectify. “Ao contrário das empresas de setores que estão mais avançados na adoção de tecnologias de nuvem, as empresas de jogos estão recrutando agressivamente para recrutar o talento necessário para gerenciar sistemas de nuvem grandes e complexos”.

A segurança nunca foi uma prioridade fundamental

Embora as empresas de jogos sejam inovadoras, a segurança sempre foi ofuscada por outras pressões, disse Justin Cappos, professor do departamento de Ciência da Computação e Engenharia da Universidade de Nova York (NYU), ao GamesIndustry.biz.

“A indústria de jogos funciona com margens bastante estreitas, em geral”, diz ele. "Realmente, o que faz com que um jogo seja bem-sucedido ou não são coisas como o quão divertido o jogo é, a qualidade dos gráficos, a rapidez com que as coisas acontecem. A segurança está muito, muito baixa nessa lista de prioridades. Quando você tem algo que precisa ser feito, ser ultra-otimizado para atingir um certo número de quadros por segundo e assim por diante, fica cada vez mais difícil garantir que isso seja seguro e saia rapidamente.

"Se cada designer de jogos pudesse levar 20 anos para lançar seu jogo, então eles teriam tempo de sobra para resolver todos esses problemas. Mas a realidade do negócio é que esse não é o caso."

Whaley da Promon concorda, adicionar jogos é extremamente sensível ao desempenho, com títulos tentando ultrapassar os limites do que é possível. “Isso é particularmente observável em jogos multijogador competitivos, onde qualquer latência torna o jogo impossível de jogar”, diz ele. "Como resultado, o setor de jogos, talvez mais do que qualquer outra indústria de software, ilustra o compromisso clássico entre segurança e desempenho. Alcançar um equilíbrio ideal exige trabalho da mais alta qualidade e inovação constante por parte de fornecedores de segurança de aplicativos, fornecedores anti-cheat e desenvolvedores de jogos eles mesmos."

Quais empresas de jogos estão mais expostas que outras?

Geralmente, os nossos especialistas concordam que as empresas que desenvolvem, mantêm ou fazem a curadoria de jogos online ou móveis tendem a estar mais expostas do que, por exemplo, aquelas que se concentram em experiências single-player. Luciani, da Detectify, acrescenta que organizações que hospedam diversas marcas em mais de uma região também tendem a estar mais expostas.

“Uma pequena empresa independente normalmente lança apenas alguns jogos em uma ou duas plataformas por vez”, diz Whaley. "Para essas empresas, a pior coisa que pode acontecer é se o jogo for quebrado logo após o lançamento. Enquanto isso, uma empresa maior provavelmente terá componentes online em seus jogos."

Cappos discorre sobre as ameaças que essas empresas enfrentam especificamente. “Se você tem um MMORPG gratuito, então você está preocupado com os jogadores abusando uns dos outros. Se houver microtransações lá, então você está preocupado com a forma como algumas dessas mecânicas funcionam e com as pessoas trabalhando e vendendo contas”, ele explica. Não se trata apenas de estar exposto, continua ele, mas do nível de risco e impacto.

"O impacto de você colocar uma pontuação impossivelmente alta na tabela de classificação mundial do meu jogo single-player favorito é quase nada. O impacto de você obter as informações do meu cartão de crédito, instalar ransomware na minha máquina e me bloquear do meu computador é realmente alto. Ou o impacto de você invadir uma empresa de jogos que armazena algum tipo de informação de cartão de crédito e retirar esses bancos de dados de cartão de crédito é muito alto. Não queremos que nada disso aconteça. É por isso que o foco precisa estar nesses áreas."

Embora muitas empresas no setor levem suas responsabilidades extremamente a sério, há uma categoria de operadores, diz Richmond-Coggan, que são realmente descuidados ou que realmente se esforçam para coletar dados para fins ocultos. Isso é particularmente comum quando você olha para o cenário dos jogos para celular.

“Você tem que ter muito cuidado para que o que você está instalando não esteja realmente instalando algum spyware junto com o jogo que você tem de graça, e você não está convidando o hacker para entrar em você mesmo instalando esse software ", alerta. “Tanto o sistema operacional Android quanto o iOS estão ficando muito melhores na incorporação do escrutínio de aplicativos, mas a realidade é que tende a ser relativamente fácil sermos contornados.”

Quais são os métodos de ataque comuns que a indústria enfrenta?

Dada a diversidade que existe na indústria de jogos e as diferentes interfaces digitais que as empresas neste espaço utilizam, a superfície de ataque é extremamente ampla. Existem, no entanto, vários métodos de ataque comuns vistos no espaço.

Negação de serviço distribuída (DDoS)

Em jogos multijogador, a maioria dos ataques será DDoS. Isso atrapalha a jogabilidade, levando à perda de receita e à perda de confiança do cliente, diz Cornwell, da SonicWall. Esta é uma abordagem comum para interromper serviços, de acordo com Whaley, e foi possível no início dos anos 2000, quando a indústria se expandiu pela primeira vez para jogos em nuvem.

“Essa técnica pode ser usada para interromper jogos multijogador competitivos e funciona usando múltiplas fontes de ataque onde dispositivos bombardeiam um alvo, sobrecarregando a rede com tráfego indesejado”, explica ele.

Os ataques DDoS são o que Cornwell descreveria como um “ataque incômodo”. Nenhum dado é roubado, em vez disso, os criminosos cibernéticos interrompem a plataforma para impactar os resultados financeiros. Os efeitos residuais também podem levar à perda de usuários, pois eles ficam frustrados e passam para outra coisa.

Vulnerabilidades e configurações incorretas

Sistemas de segurança desatualizados e fracos são altamente prevalentes na indústria, argumenta Luciani, o que se traduz em vulnerabilidades fáceis de explorar. “Muitos sistemas, sejam eles construídos em casa ou incorporando tecnologias recém-adquiridas, tendem a ser mal configurados, apresentando também oportunidades para invasores”, diz ela.

“Uma superfície de ataque desconhecida e desprotegida é normalmente a rota de muitos ataques que levam a grandes incidentes de segurança: pode ser um certificado SSL expirado, um subdomínio desconhecido que foi assumido ou scripts entre sites em um site.”

As violações também podem ocorrer por meio de malware backdoor que pode ter sido incorporado ao código-fonte aberto usado pelos desenvolvedores.

Vulnerabilidades de banco de dados e preenchimento de credenciais

Muitas empresas do setor usam linguagem de consulta estruturada (SQL) para estabelecer e manter bancos de dados. A injeção de SQL “envolve agentes mal-intencionados que exploram vulnerabilidades dentro de um jogo para então injetar código hostil”, diz Whaley. “A partir daí, os hackers podem roubar credenciais de login, detalhes de cartões ou até mesmo acessar contas e inventários de jogadores”.

Normalmente seguem-se ataques de preenchimento de credenciais, nos quais os criminosos cibernéticos usam as credenciais que obtiveram para acesso de força bruta a outras contas online dos utilizadores – como as redes sociais.

MITM e exploração de servidor

Também conhecidos como wall hacks, os ataques man-in-the-middle (MITM) normalmente fazem com que hackers alterem as comunicações entre o jogo e os servidores, inserindo-se secretamente entre as duas partes. Normalmente, os indivíduos lançam estes ataques não para se infiltrarem numa empresa, mas para obterem uma vantagem competitiva num jogo online.

“Ao interceptar esses dados”, continua Whaley, “os malfeitores podem modificar muitos aspectos de um jogo. Isso geralmente é feito para criar vantagens injustas, como a manipulação da lógica de detecção de colisão em títulos de tiro para evitar ou garantir acertos. trapaceiros alterem a transparência dos ativos do modelo para se permitirem ver através e até mesmo viajar através das paredes."

Richmond-Coggan, de Freeths, acrescenta que os ataques também podem ocorrer quando uma empresa está migrando para novos servidores. “Talvez eles tenham superado o tamanho do data center existente e precisem migrar para algo mais robusto”, sugere ele. "Durante a migração, muitas vezes os dados ficavam muito vulneráveis e muitas vezes ficavam comprometidos."

Ataques de ransomware

A indústria certamente corre o risco de ransomware, mas os criminosos cibernéticos normalmente não os lançam para atingir especificamente as empresas de jogos.

“Definitivamente há aqueles que escrevem software e depois o soltam pelo mundo, e eles realmente não se importam onde ele vai parar”, diz Richmond-Coggan. “Muitos ataques de ransomware, por exemplo, se enquadram nessa categoria.”

Cappos acrescenta que todos correm algum risco, mas “provavelmente não é um risco substancial”. “Você está fazendo seu desenvolvimento, usando sistemas de controle de versão, fazendo backup de coisas”, diz ele. "Sempre que você realmente tem várias pessoas fazendo desenvolvimento, geralmente você tem backups suficientes para sua infraestrutura e provavelmente ficará bem."

Quais são as consequências de um ataque cibernético?

Não importa o tamanho da empresa, os ataques cibernéticos “sempre prejudicarão os resultados financeiros de uma empresa”, diz Whaley. Isto é uma espécie de censo entre nossos especialistas. As empresas podem não só perder receitas, mas também podem infringir as regulamentações se, por exemplo, não reportarem ataques cibernéticos a tempo, enfrentando multas pesadas.

“Se uma empresa não fornecer uma experiência segura aos seus jogadores, isso irá minar a confiança, prejudicar as economias do jogo e diminuir as vendas”, acrescenta Whaley. “Fãs obstinados são muitas vezes os impulsionadores do sucesso de um jogo; no entanto, devido à abundância de ativos no jogo, como equipamentos ou dinheiro que podem ser roubados, essas são as contas mais visadas.

“A notícia se espalha rapidamente pelas comunidades do jogo se um desenvolvedor não conseguir proteger seus clientes mais valiosos e leais. Como seria de esperar, isso tem sérias ramificações para a saúde e longevidade de um jogo.”

Embora o impacto de um ataque à Ubisoft, por exemplo, quando The Division sofreu um êxodo de jogadores devido a “hacking desenfreado”, possa parecer enorme, geralmente o impacto não é significativo o suficiente para que esses negócios falam.

“As consequências até mesmo dos menores ataques para pequenas e médias empresas podem ser terríveis”, diz Whaley. “Estúdios menores muitas vezes só têm orçamento para lançar um jogo de cada vez, cujas receitas financiarão o desenvolvimento de seu próximo jogo. Nesse cenário, um ataque cibernético bem orquestrado pode levar um pequeno estúdio independente à falência.”

O que você deve fazer se sofrer um ataque cibernético?

Se sua empresa for alvo de um ataque cibernético, há uma série de coisas que você deve fazer para minimizar o impacto.

Richmond-Coggan atua, em parte, como consultor para empresas que lidam com dados ou tecnologias que exigem muita privacidade, incluindo empresas de jogos. Ele trabalha regularmente com clientes que sofreram violações de dados a título consultivo e oferece as seguintes orientações com base em sua experiência em primeira mão.

“Imediatamente, o que tende a acontecer é que tudo o que eles pensavam ser sua principal prioridade de negócios sai pela janela e tudo se concentra apenas na sobrevivência”, disse ele ao GamesIndustry.biz . “Não é exagero dizer que estes ataques podem representar uma ameaça existencial total para o negócio sob ataque.”

Muitas vezes, os ataques são programados para coincidir com o ponto imediatamente anterior aos estúdios entregarem a versão final de seu jogo. Se for ransomware, todos os ativos digitais – tudo em que eles estão trabalhando – serão bloqueados.

No caso de ransomware, todos os ativos digitais – tudo em que a empresa tem trabalhado – serão bloqueados e os estúdios perderão todos os tipos de coisas que estão desenvolvendo – a menos que paguem qualquer que seja o pedido de resgate.

“A tentação é pagar para não perder o prazo”, continua ele, “para não perder o mercado”.

Isto, observa ele, pode acontecer muitas vezes na véspera do Natal; mesmo algumas semanas gastas na recuperação de seus sistemas significam perder a janela principal de vendas, “o que pode ter um impacto poderoso nos negócios”.

Mesmo que as empresas consigam recuperar um backup e limpar seus servidores e restaurá-los – ou até mesmo pagar o resgate – a interrupção ainda pode persistir. “Em primeiro lugar, você não sabe realmente por quanto tempo aquele software que foi usado para desencadear o ataque ou para obter acesso ao seu sistema”, explica ele.

“Você não sabe há quanto tempo ele está inativo. Você precisa fazer uma limpeza profunda e completa para garantir que qualquer vestígio duradouro de qualquer tipo de malware ou credenciais que foram configuradas como parte do ataque sejam todos eliminados . Isso pode consumir muito tempo."

Se for um ataque grave que afete dados pessoais, as empresas devem notificar tanto o regulador, dependendo de onde estão sediadas, quanto os indivíduos. Geralmente é preciso fazer isso rapidamente porque, dependendo da época do ano (Natal, por exemplo), pode intensificar reações ácidas. Isso também alimenta má publicidade – mas é mais do que isso.

“É uma questão de saber se essas pessoas vão ou não confiar essas informações em você novamente, e muitas vezes, cada vez mais, as pessoas estão começando a votar com essas coisas”.

Então, você tem os custos de remediação de longo prazo, continua Richmond-Coggan. "Se você tiver um regulador interessado, ele provavelmente estará olhando para seus sistemas e dizendo: 'Bem, isso realmente não está de acordo com o padrão - você terá que fazer um investimento em salvaguardas mais sofisticadas se você quer poder continuar operando. Eles podem ter que compensar as pessoas que foram afetadas negativamente porque as informações do seu cartão de crédito foram roubadas”.

Que medidas a indústria deve tomar imediatamente?

Há uma série de medidas importantes que nossos especialistas recomendam que o setor tome para proteger a si mesmo e a seus clientes contra ataques cibernéticos. Estas incluem as seguintes medidas práticas.

Instigar uma mudança na cultura de segurança cibernética

As empresas de jogos devem ver a segurança como um facilitador, em vez de um bloqueador, e implementar uma abordagem em camadas que incorpore um elemento de segurança cibernética na amplitude do desenvolvimento. As organizações também devem planejar a implementação de segurança de forma que não atrase o lançamento de atualizações, especialmente em jogos de serviço ao vivo.

Eduque a força de trabalho

Certifique-se de que os funcionários estejam cientes de todas as ameaças e dos tipos de ameaças que podem ocorrer, diz Cornwell. Isso os ajudará a ficar mais vigilantes.

Acerte os princípios básicos de higiene da segurança da informação

Muitas vezes é esquecido, mas as empresas precisam garantir que conseguiram lidar bem com processos simples, diz Richmond-Coggan. “Se, digamos, uma empresa tiver um repositório de todos os seus usuários, ela pode querer garantir que ele seja acessível a todos em diferentes plataformas, então prioriza torná-lo conveniente em vez de realmente escrever algumas proteções robustas”.

Crie unidades de segurança especializadas para supervisionar o desenvolvimento de jogos

Whaley recomenda que os estúdios estabeleçam uma equipe que supervisione todos os principais recursos de um jogo enquanto ele está em desenvolvimento. Por mais talentosos que sejam os desenvolvedores de jogos, diz ele, raramente são especialistas em segurança cibernética. Uma arquitetura de jogo bem pensada, por outro lado, é suficiente para evitar a maioria dos problemas de segurança cibernética.

Siga as diretrizes do setor em relação ao PCI-DSS

Essas diretrizes protegem e otimizam os dados do titular do cartão para empresas que os armazenam. Quaisquer conexões com plataformas ou consoles externos devem ter em mente uma segurança rigorosa, e os registros de dados devem ser monitorados para garantir que não haja comportamento anormal que possa ser um indicador precoce de violação.

Lembre-se de proteger igualmente os usuários e o IP

Whaley observa que com a mudança para jogos mobile-first, a dependência de extras pagos como principal fonte de renda levou as empresas a priorizar a integridade transacional em detrimento da proteção de seu IP. Ambos, diz ele, são críticos e é necessário encontrar um equilíbrio.

Não se exagere na imprensa

Com o público e outras partes interessadas da indústria vendo a privacidade e a segurança como cada vez mais importantes, muitos na indústria podem estar interessados em “tocar a sua própria trombeta” sobre isso, acrescenta Richmond-Coggan. “Mas se eles não implementaram as proteções quando começaram a falar sobre isso, então tudo o que estão realmente fazendo é divulgar vulnerabilidades”.

Monitoramento contínuo

Com as empresas constantemente dimensionando servidores e alterando sua infraestrutura, monitorar a superfície de ataque é essencial para garantir o desempenho. Ao testar continuamente ambientes de produção, eles devem identificar e priorizar a correção de vulnerabilidades à medida que forem encontradas.

Anti-trapaça desde o início

Muitos estúdios podem mitigar ataques cibernéticos se incorporarem mecanismos anti-trapaça nos estágios iniciais de desenvolvimento. As defesas de um jogo só são consideradas quando ele está pela metade, o que já é tarde demais, enfatiza Whaley. Neste ponto, pode haver vulnerabilidades evitáveis incorporadas em um jogo.

Testes internos de segurança cibernética

As empresas, em particular, como os estúdios AAA, devem ter uma equipe de segurança e realizar testes regulares como parte do controle de qualidade, diz Cappos. Não fazê-lo seria negligência. Quanto ao que deve ser testado, qualquer coisa relacionada a pagamento, RCE ou qualquer coisa que possa danificar uma máquina ou custar dinheiro. Cappos também recomenda que as empresas deveriam, idealmente, trazer as operações de segurança cibernética internamente, em vez de terceirizá-las para um fornecedor de segurança cibernética.

Execute mais fuzzing

Cappos também quer ver mais fuzzing – testes automatizados que injetam entradas corrompidas ou inválidas em um sistema para revelar defeitos e falhas. Dada a prevalência de bugs pós-lançamento em muitos títulos, ele sente que a indústria poderia realizar fuzzing com mais regularidade. Isso precisa ser aplicado de forma mais consistente e qualquer coisa que você coloque em uma rede, diz ele, precisa ser distorcida.

Garanta backups em tempo real

Fazer backup de dados em tempo real, com a capacidade de acessá-los e limpá-los – se software malicioso for descartado e feito backup – é fundamental.

Adoptar a minimização de dados desde a concepção

As empresas precisam de começar a pensar melhor sobre a quantidade de informação que realmente necessitam de armazenar, afirma Richmond-Coggan. Cada registro que uma empresa mantém é potencialmente um alvo – portanto, faça uma avaliação de cada dado que você poderia solicitar aos usuários.

Tenha cuidado ao lidar com informações de pagamento

Cappos enfatiza a necessidade de as organizações assumirem seriamente suas responsabilidades ao solicitar detalhes de pagamento – e evitarem fazê-lo se não tiverem recursos ou pessoal para se manterem atualizadas. “Se você tem algo que aceita pagamentos ou há qualquer transferência de dinheiro, você precisa 100% ter o mesmo nível de cuidado e prática que qualquer outra organização e grupo faria para isso”, diz ele. "Isso é sem dúvida – 100%."

Terceirize pagamentos – a menos que você seja uma grande empresa

A exceção ao princípio de terceirização da Cappos ocorre quando se trata de qualquer coisa que tenha um ponto de contato com os dados financeiros dos clientes. Grandes publicações como Paradox, ou EA, podem ter sistemas robustos para lidar com isso da mesma forma que o Steam e a Apple fazem, mas, caso contrário, vale a pena deixar um gigante da indústria lidar com esse lado do negócio através de suas plataformas.

Aplique patches de segurança regulares para todos os títulos, não apenas para os mais novos

Muitos títulos recebem patches de segurança, mas não negligencie os títulos que podem ter cinco ou até dez anos, diz Cappos. Esses títulos ainda podem ter uma base de usuários substancial e as empresas ainda têm o dever de cuidar dos clientes. Eles deveriam procurar vulnerabilidades nas bibliotecas de software que possam ter usado e enviar atualizações rotineiramente se, por exemplo, surgisse um problema.

Com informações do GameIndustry.biz.

Inscreva-se no canal GameWire no YouTube e acompanhe nossos conteúdos e produções de parceiros. Siga-nos também no Facebook, Instagram e X, para ficar por dentro das novidades que preparamos especialemnte para você!

Tem uma dica de notícia ou quer entrar em contato conosco diretamente? Então faça contato através do e-mail Este endereço para e-mail está protegido contra spambots. Você precisa habilitar o JavaScript para visualizá-lo..