Wyciek danych z CD Projekt. Na czym może faktycznie stracić firma [Aktualizacja]
Z serwerów CD Projektu wyciekły dane, w tym rzekomo kody źródłowe gier Wiedźmin 3, Gwent i Cyberpunk 2077. Problem wizerunkowy albo potencjalny wyciek assetów z gry może być jedynie wierzchołkiem góry lodowej.
"Mamy pełne kopie kodów źródłowych do Cyberpunka 2077, Gwenta, Wiedźmina 3 i niewydanej wersji Wiedźmina 3" - napisali w notatce przestępcy, którzy włamali się na serwery CD Projektu, zaszyfrowali dane i zagrozili ich upublicznieniem.
Jeśli faktycznie dojdzie do upublicznienia lub sprzedania kodu źródłowego Red Engine (silnika, na którym CD Projekt Red buduje swoje gry), to sam ten fakt nie będzie dla firmy największym problemem.
- Żadne dużo studio gier komputerowych nie wykorzysta tego kodu źródłowego do swoich potrzeb - mówi w rozmowie z Polygamią Grzegorz Rdzany, szef technologii we Flying Wild Hog. - Nikt, kto chce uchodzić za poważnego twórcę, nie będzie tworzył gier na ukradzionym kodzie źródłowym. I to niezależnie od wielkości studia.
Według Rdzanego sam wgląd w kod źródłowy Red Engine nie da też interesujących znalezisk. Po pierwsze, jest to prawdopodobnie kilka milionów linii języka programistycznego. Przeszukanie i zrozumienie tego zajęłoby miesiące. Po drugie, środowisko twórców gier jest bardzo otwarte, a programiści chętnie chwalą się i udostępniają swoje oryginalne rozwiązania.
To, co ktoś może zrobić, posiadając kod źródłowy gry, to zmienić jej wygląd lub działanie. W przypadku "Wiedźmina 3" i "Cyberpunka 2077" nie ma to jednak większego znaczenia, bo są to gry singleplayer. Zresztą gracze robili to już wcześniej przy pomocy modów, a twórcy często udostępniają im do tego narzędzia.
Problem może natomiast powstać w przypadku gier multiplayer, a taką jest "Gwent". Tutaj oszuści, którzy mają dostęp do kodu źródłowego, mogą potencjalnie zmienić grę na swoją korzyść lub całkowicie uniemożliwić jej działanie.
- Większym problemem dla CD Projektu mogą być usługi i programy zewnętrznych firm, które wyciekły wraz z ich kodem źródłowym - mówi Grzegorz Rdzany. - To może stworzyć bezpośrednie zagrożenie dla tych firm.
Mało które studio buduje cały swój kod źródłowy od zera. Studia kupują często od innych firm licencje na korzystanie z ich rozwiązań. W przypadku "Cyberpunka 2077" może to być np. sposób kompresji wideo Blink, system Jali do tworzenia animacji twarzy na podstawie pliku audio dialogu, czy usługi Nvidii.
W tym wypadku CD Projekt może także narazić się na konsekwencje prawne ze strony tych firm, bo korzystanie z licencji zewnętrznych dostawców jest zazwyczaj mocno obwarowane nakazami i zakazami. Jednym z nich jest prawie zawsze zakaz publikacji ich kodu źródłowego.
Mniej dotkliwy finansowo, ale gorszy wizerunkowo, może być wyciek przyszłych assetów z gry (modeli postaci, grafik, dźwięków, etc.), które zepsują firmie plany marketingowe.
- Warto pamiętać, że tak naprawdę nie wiemy, co wyciekło z serwerów CD Projektu - mówi Rdzany. - Przestępcy mówią, że mają cały kod źródłowy i dane gry, ale to jest często kilka-kilkadziesiąt terabajtów danych. Równie dobrze mogą mieć tylko fragment kodu albo samą listę plików.
Większym problemem może być wyciek danych osobowych byłych i obecnych pracowników CD Projektu. Ten jednak w mniejszym stopniu dotknie sam CD Projekt, a bardziej ludzi z nim współpracujących. W wydanym 9 lutego komunikacie CD Projekt poinformował, że nie ma informacji, aby doszło do wycieku danych osobowych byłych i aktualnych pracowników.
W tłumaczeniu na polski wiadomość brzmi: "Na chwilę obecną nie posiadamy dowodów na to, że uzyskano dostęp do danych osobowych (byłych pracowników). Nadal jednak zalecamy ostrożność (np. włączenie alertów o próbach oszustwa). Jeśli masz jakiekolwiek pytania, prosimy o kontakt z naszym zespołem ds. prywatności."
[Aktualizacja]
W ramach działań prewencyjnych, zgodnie z najlepszymi praktykami w tym zakresie, przedstawiliśmy naszym pracownikom rekomendacje działań z zakresu bezpieczeństwa danych osobowych. Wydaliśmy również publiczny komunikat do byłych pracowników na Twitterze i kontaktujemy się z nimi indywidualnie. Na ten moment nie otrzymaliśmy żadnej potwierdzonej informacji, żeby ktoś z naszego personelu został poszkodowany, w szczególności nie wiemy nic o jakichkolwiek próbach wyłudzania pożyczek na dane naszych pracowników. Gdyby taka sytuacja wystąpiła, osoba poszkodowana powinna niezwłocznie zgłosić ten fakt policji.