Nintendo, siber suçluların neredeyse on yıllık şirket içi verilerini çaldığı iddialarını araştırıyor ve bilgilerin çevrimiçi yayımlanmasını önlemek için 2 milyon dolar talep ediyor.
İddialar, Japon oyun deviyle bağlantılı olduğu iddia edilen yaklaşık 859MB veriye sahip olduğunu iddia eden ShadowByte$ adlı bir tehdit aktör tarafından bir siber suç forumunda paylaşıldı. Nintendo bir ihlal doğrulamamış olsa da, sızdırılan dosya örneklerini inceleyen güvenlik araştırmacıları, verilerin bazı bölümlerinin gerçek göründüğünü söyledi.
Saldırganlara göre, çalınan bilgiler arasında çalışan isimleri, kurumsal e-posta adresleri, iç raporlar, iş gücü anketleri, planlama belgeleri, organizasyonel metrikler ve diğer iç kayıtlar yer alıyor. Örnekleri inceleyen araştırmacılar, çalışan bağlılığı anketleri, işyeri geri bildirimleri ve İK ile ilgili verilerin birkaç yıl öncesine dayandığını söylediler.
Tehdit aktör, kayıtların 2016’dan 2026’ya kadar uzandığını ve bu da şirket dahili on yıllık bilgilerin ortaya çıkmasına yol açabileceğini iddia ediyor. Bazı dosyalarda bulunan meta verilerin, veri setinin en az bir kısmının Ocak 2026’da dışa aktarıldığını gösterdiği belirtiliyor. Araştırmacılar ayrıca hâlâ Nintendo’da çalışan kişilere referanslar da tespit etti ve sızdırılan materyalin bazı bölümlerine güvenilirlik kattı.
En büyük cevapsız sorulardan biri, verilerin nasıl elde edildiği. Araştırmacılar, şu anda Nintendo’nun iç sistemlerinin doğrudan tehlikede bulunduğuna dair hiçbir kanıt olmadığını söylüyor. Saldırganlar, kuruluşların anonim çalışan anketleri ve işyeri içgörüsü toplamak için kullandığı çalışan katılımı ve iş gücü geri bildirim platformu TinyPulse’a atıfta bulundu. Sonuç olarak, araştırmacular olayın Nintendo’nun altyapısına doğrudan ihlali değil, üçüncü taraf bir hizmetle ilgili olabileceğine inanıyor.
Şu aşamada, müşteri bilgilerinin, Nintendo hesap verilerinin, ödeme detaylarının veya oyuncu bilgilerinin etkilendiğine dair hiçbir işaret yok. Şimdiye kadar incelenen sızdırılan örneklerin esas olarak çalışan ve kurumsal kayıtlardan oluştuğu anlaşılıyor.
Bu olay, saldırganların fidye yazılımı dağıtmak yerine hassas kurumsal bilgileri şantaj amacıyla çalmaya odaklandığı siber suçlarda artan bir eğilimi ortaya koyuyor. İç belgeler, çalışan kayıtları, stratejik planlama materyalleri ve iş gücü verileri, fidye ödemesi talep eden tehdit aktörleri için değerli pazarlık noktaları olabilir.
ShadowByte$, bu yılın başlarında ortaya çıktığı bildirilen nispeten yeni bir şantaj grubu. Grup, talepleri karşılanmazsa iddia edilen Nintendo verilerini yayınlayacağını iddia ediyor, ancak veri setinin ne gerçekliği ne de tam kapsamı bağımsız olarak doğrulanmadı.
Nintendo bu iddialar hakkında kamuoyuna açıklama yapmadı ve şirket bir ihlal olup olmadığını doğrulamadı. Ek kanıtlar ortaya çıkana veya Nintendo bulgularını açıklayana kadar, iddia edilen uzlaşma doğrulanmamış kalıyor.