A Nintendo está investigando alegações de que cibercriminosos roubaram quase uma década de dados internos da empresa e exige 2 milhões de dólares para impedir que essas informações sejam divulgadas online.
As alegações foram postadas em um fórum de crimes cibernéticos por um ator ameaçador chamado ShadowByte$, que afirma possuir aproximadamente 859MB de dados supostamente ligados ao gigante japonês dos games. Embora a Nintendo não tenha confirmado uma violação, pesquisadores de segurança que analisaram amostras dos arquivos vazados disseram que partes dos dados parecem ser autênticas.
Segundo os atacantes, as informações roubadas incluem nomes de funcionários, endereços de e-mail corporativos, relatórios internos, pesquisas de força de trabalho, documentos de planejamento, métricas organizacionais e outros registros internos. Pesquisadores que analisaram as amostras disseram encontrar pesquisas de engajamento dos funcionários, submissões de feedback no ambiente de trabalho e dados relacionados a RH que datam de vários anos atrás.
O agente ameaçador afirma que os registros abrangem de 2016 a 2026, potencialmente expondo dez anos de informações internas da empresa. Metadados encontrados em alguns dos arquivos indicam que pelo menos parte do conjunto de dados foi exportada em janeiro de 2026. Pesquisadores também identificaram referências a indivíduos que parecem ainda estar empregados pela Nintendo, conferindo credibilidade a partes do material vazado.
Uma das maiores perguntas sem resposta é como os dados foram obtidos. Os investigadores afirmam que atualmente não há evidências que comprovem que os sistemas internos da Nintendo foram diretamente comprometidos. Os atacantes mencionaram o TinyPulse, uma plataforma de engajamento dos funcionários e feedback da força de trabalho usada por organizações para coletar pesquisas anônimas com funcionários e insights sobre o ambiente de trabalho. Como resultado, pesquisadores acreditam que o incidente pode envolver um serviço de terceiros, e não uma violação direta da infraestrutura da Nintendo.
Neste momento, não há indicação de que informações do cliente, dados da conta da Nintendo, detalhes de pagamento ou dados do jogador foram afetados. As amostras vazadas revisadas até agora parecem consistir principalmente em registros de funcionários e empresas.
O incidente destaca uma tendência crescente no cibercrime, em que os atacantes focam em roubar informações corporativas sensíveis para extorsão, em vez de usar ransomware para criptografar sistemas. Documentos internos, registros de funcionários, materiais de planejamento estratégico e dados da força de trabalho podem ser peças valiosas de troca para atores ameaçadores que buscam pagamentos de resgate.
A ShadowByte$ é um grupo de extorsão relativamente novo que, segundo relatos, surgiu no início deste ano. O grupo afirma que divulgará os supostos dados da Nintendo caso suas exigências não sejam atendidas, embora nem a autenticidade nem o escopo completo do conjunto de dados tenham sido verificados de forma independente.
A Nintendo não comentou publicamente sobre as alegações, e a empresa não confirmou se houve uma violação. Até que evidências adicionais surjam ou a Nintendo divulgue suas conclusões, o suposto compromisso permanece sem verificação.