Em meio a especulações e expectativas geradas por vazamentos, o trailer de quase trinta minutos de GTA VI foi divulgado na última semana de agosto. Embora o Grupo Hacker CyberLeek não tenha obtido suas exigências de protesto, seu objetivo principal foi alcançado, retirando aproximadamente 1,5 milhão de reais de sua criptomoeda $CYBERLEEK.
Após o lançamento deste caso na Netflix e o subsequente desaparecimento do grupo hacker, torna-se relevante compreender melhor este mecanismo de chantagem e revisitar outros exemplos em que o setor de jogos foi alvo de extorsão.
Quando Wolverine virou refém
Em dezembro de 2023, a Insomniac Games enfrentou uma crise mais grave do que apenas a invasão de seus servidores por hackers. O grupo responsável detinha informações confidenciais sobre colaboradores, documentos internos e, crucialmente, anos de trabalho em títulos que ainda não haviam sido lançados ao público.
A demanda apresentada era de cerca de US$ 2 milhões, valor que a companhia optou por não pagar. Poucos dias depois, um volume de 1,67 TB de dados começou a circular na internet, incluindo materiais referentes a Marvel’s Wolverine.
Como ponto de comparação, ocorreu um incidente similar na indústria cinematográfica. Em 2014, durante o trabalho com a Sony Pictures, houve um roubo de dados onde e-mails, números de telefone e informações pessoais foram expostos no WikiLeaks, revelando detalhes sobre o filme do Homem-Aranha, inclusive negociações de aquisição da marca pela Marvel na época.
A questão central reside em como um jogo ainda em fase de desenvolvimento pode se converter em uma ferramenta de coerção contra o próprio estúdio produtor?
Historicamente, os ataques de ransomware operavam de forma mais direta: criminosos invadiam empresas, bloqueavam arquivos e exigiam pagamento para restaurar o acesso. Contudo, a evolução desses ataques introduziu a chamada dupla extorsão. Os invasores agora copiam os arquivos antes de criptografá-los, mantendo a ameaça de publicação dos dados roubados mesmo que a vítima consiga usar backups.
Para um estúdio de jogos, essa ameaça assume uma gravidade particular. Um título em desenvolvimento representa anos de dedicação, investimentos substanciais e informações mantidas em sigilo até o momento estratégico de seu lançamento. O acesso a uma versão de teste (build), ao código-fonte ou aos planos futuros significa deter algo que o estúdio não pode simplesmente substituir.
Assim, o jogo não necessita ser sequestrado no sentido clássico; basta que haja cópia antecipada. A partir desse ponto, o que seria o próximo grande lançamento do estúdio pode se tornar um instrumento de pressão.
Por que os jogos são um alvo tão interessante?
Os estúdios de jogos possuem ativos extremamente valiosos para este tipo de extorsão: segredos que despertam imenso interesse público. Sistemas contêm código-fonte, jogos não anunciados, personagens, roteiros, builds em desenvolvimento, contratos e cronogramas plurianuais.
Há uma distinção importante em relação a outras indústrias. Enquanto o roubo de documentos internos de uma empresa comum pode não atrair grande atenção, um vídeo inédito de GTA VI ou Wolverine rapidamente se espalha pela internet em questão de horas devido ao interesse do público.
É justamente esse engajamento do público que potencializa o poder da ameaça. Para o criminoso, a necessidade de encontrar alguém disposto a comprar os arquivos roubados é mitigada pela possibilidade de simplesmente publicá-los, o que já pode gerar prejuízos enormes ao estúdio, afetando campanhas de marketing, anúncios programados e anos de desenvolvimento secreto.
Não foi só a Insomniac
O episódio da Insomniac não é um evento isolado. Em 2021, a CD Projekt, desenvolvedora de Cyberpunk 2077 e The Witcher, sofreu um ataque onde hackers roubaram códigos-fonte e documentos internos antes de ameaçar sua divulgação. A empresa recusou-se a negociar, e parte do material acabou circulando online.
No mesmo ano, a Electronic Arts teve cerca de 780 GB de dados comprometidos, incluindo código-fonte de FIFA 21 e ferramentas ligadas ao motor Frostbite. Este caso nem iniciou como um ransomware tradicional; os dados foram subtraídos e posteriormente utilizados em uma tentativa de extorsão, demonstrando que os criminosos não dependem mais do bloqueio de computadores para exercer pressão.
Capcom e Rockstar também vivenciaram situações análogas. No ataque à Capcom, sistemas foram violados e informações corporativas e pessoais foram roubadas sob a condição de resgate. Já no caso da Rockstar, responsável por GTA, o invasor chegou a ameaçar liberar o código-fonte durante as negociações com a empresa.
Embora os métodos e os alvos variem, o padrão se torna progressivamente identificável: o poder dos invasores reside não apenas na capacidade de paralisar o estúdio, mas sim na posse de informações que ele não pode permitir que se tornem públicas.
Um vazamento não pode ser restaurado de um backup
Uma empresa vítima de ransomware pode recuperar servidores, alterar senhas, reinstalar equipamentos e obter arquivos através de backups. Entretanto, existe algo que nenhuma dessas ações consegue reverter: o segredo após sua chegada à internet.
Para um estúdio de jogos, isso pode significar a exposição de anos de planejamento de uma só vez. Títulos ainda não anunciados, personagens, roteiros, datas de lançamento e estratégias comerciais podem se tornar públicos muito antes do prazo estabelecido pela empresa. No caso da Insomniac, por exemplo, o vazamento expôs não só detalhes sobre Wolverine, mas também informações sobre projetos e planos futuros do estúdio.
Adicionalmente, grande parte do material furtado nunca foi concebido para o consumo público. Protótipos, vídeos de testes e versões incompletas podem ser avaliados como se fossem o produto final. Isso ocorreu com GTA VI, quando vídeos de uma versão em desenvolvimento circularam e foram analisados fora do contexto de produção.
Por essa razão, o dano de um vazamento transcende a esfera de Tecnologia da Informação. Servidores podem ser recuperados e falhas corrigidas, mas um estúdio não tem como fazer com que milhões de pessoas esqueçam o que já visualizaram.
E qual o nosso papel nesta equação?
A eficácia das ameaças de publicar informações sobre GTA VI ou Wolverine deve-se ao conhecimento dos criminosos sobre a existência de um público vastíssimo interessado neste conteúdo. Assim que ocorre um vazamento, imagens são compartilhadas, vídeos surgem em redes sociais, e fóruns analisam cada detalhe, fazendo com que o que deveria permanecer interno ao estúdio se dissemine pela internet em poucas horas.
É difícil exigir que milhões de jogadores ignorem informações sobre um jogo aguardado há anos. A curiosidade é inerente, e muitas vezes o público desconhece a origem exata de uma imagem ou vídeo em seu feed. Contudo, é precisamente a certeza de que esse conteúdo será consumido e compartilhado que eleva seu valor como ferramenta de extorsão.
Quanto maior for a franquia e a expectativa pelo próximo lançamento, maior poderá ser o impacto da ameaça. Nesse sentido, a própria popularidade de um jogo acaba atuando contra o estúdio: aquilo que deveria ser seu maior trunfo de marketing auxilia na transformação de informações roubadas em uma potente moeda de troca.
Os hackers não precisam apenas roubar um segredo; para que a ameaça funcione, eles precisam ter certeza de que milhares de pessoas estão ansiosas para vê-lo.
Quando o segredo vira o verdadeiro refém
Antigamente, o maior receio de uma empresa atacada por ransomware era saber se conseguiria recuperar seus arquivos. Atualmente, para um estúdio de jogos, surge uma preocupação talvez ainda mais profunda: o que acontece se todos puderem vê-los?
Os ataques direcionados à Insomniac, CD Projekt, EA, Capcom e Rockstar demonstram que não é mais preciso impedir o funcionamento de uma empresa para exercê-la pressão. Basta possuir aquilo que ela dedicou anos a manter em sigilo.
Isso redefine o conceito de segurança digital para a indústria. Proteger um estúdio implica mais do que manter servidores operacionais ou garantir backups atualizados; significa salvaguardar jogos ainda não anunciados, estratégias comerciais, dados de funcionários e, fundamentalmente, anos de trabalho destinados ao público no momento escolhido pelos criadores.
Enquanto houver interesse nessas informações, elas manterão valor para quem as roubou. E quanto maior a expectativa por um jogo, maior será o poder dessa ameaça.
O desafio reside no fato de que restaurar os sistemas não equivale a recuperar o controle sobre o que foi furtado. Um servidor pode ser restabelecido, uma senha alterada, um computador formatado. Mas um segredo, uma vez publicado na internet, não pode ser recolocado no servidor.
Considerando a divulgação do vídeo estendido de jogabilidade de GTA VI, observa-se que, embora o CyberLeek tenha lucrado com sua criptomoeda, não houve impacto aparente nem no entusiasmo, nem nas vendas do jogo da Rockstar, provando que o nome da empresa não possui mais tanta assertividade.