CD Projekt Red, un ejemplo de transparencia contra el Ransomware

CD Projekt Red es uno de los estudios de videojuegos independientes más importantes del planeta con capitalización cercana a los 10.000 millones de dólares gracias a superventas como The Witcher 3: Wild Hunt. También es bien conocido por su tienda GOG, muy apreciada por los usuarios por lanzar títulos sin DRM y una de las grandes alternativas en distribución digital de videojuegos al gigante Steam.

Pero no toca aquí hablar de juegos si no de la respuesta de CD Projekt Red a un incidente de seguridad. Como muchas otras, la empresa no se ha librado de un ataque de Ransomware con cifrado de archivos y robo de información confidencial.

Y es que el Ransomware sigue campando a sus anchas por las redes informáticas mundiales. Desde hace dos años se ha convertido en la principal ciberamenaza de la industria tecnológica y de los ataques iniciales de hace una década a usuarios particulares, los cibercriminales han visto un filón en organismos, infraestructuras críticas y empresas que por lo general suelen pagar a los extorsionadores.

Y es un gran error porque pagar no siempre garantiza la recuperación de los archivos y además manda un mensaje terrible: las empresas están dispuestas a pagar aunque con ello financien a la industria del cibercrimen (sin pretenderlo).

La respuesta de CD Projekt Red

La respuesta de esta empresa ha sorprendido en medio tecnológicos y de ciberseguridad. No solo se ha negado a pagar, sino que ha reconocido el incidente y ha publicado la extorsión, la nota de rescate dejada por los piratas informáticos donde amenazan con publicar el código fuente de juegos lanzados y los futuros, así como varios documentos internos.

«Si no llegamos a un acuerdo, los códigos fuente se venderán o filtrarán en línea y sus documentos se enviarán a los medios. Su imagen pública se hundirá y los inversores perderán la confianza en su empresa», escriben los atacantes dando un plazo de 48 horas para cumplir con sus demandas:

Important Update pic.twitter.com/PCEuhAJosR

— CD PROJEKT RED (@CDPROJEKTRED) February 9, 2021

La extorsión es la típica, pero no así la inusual respuesta del estudio. En un comunicado, un desafiante CD Projekt Red dijo que no accedería a las demandas ni entraría en negociaciones a pesar de los temores de que su decisión terminara en la exposición pública de sus datos internos y que el incidente no llega en buen momento después del fiasco en el lanzamiento de su último juego: Cyberpunk 2077.

La compañía ha asegurado que no se han visto comprometidos datos de clientes, aunque la investigación continua y ha informado que había entrado en modo de respuesta a incidentes, restaurando sistemas cifrados a partir de copias de seguridad y reforzada la seguridad de su infraestructura de TI.

Especialistas en ciberseguridad de F-Secure han elogiado la respuesta de la compañía: «CD Projekt Red ha hecho un buen trabajo al ser transparente, donde la declaración se publicó casi inmediatamente después de descubrir la infracción. La transparencia es clave para desmotivar a los atacantes de tener una ventaja en el proceso de negociación». También desde ESET han señalado la importancia de este tipo de estrategia, empleando «un protocolo correcto para resistir tales demandas y trastornos al negarse a pagar a los atacantes».

«Asegurar toda la cadena de suministro de software es una alta prioridad para las empresas de todo tipo en estos días después del ataque de SolarWinds a finales de 2020. Para las empresas donde el código es su producto, es aún más importante hacerlo bien».

Para los desarrolladores y editores de videojuegos, proteger sus operaciones implica proteger los activos del juego y la propiedad intelectual junto con las instancias de la nube y los servicios que ejecutan esas instancias, ya que se sospecha que el fallo de seguridad ha radicado en alguna herramienta del proceso de desarrollo.

Si la seguridad no parece haber sido la mejor, sí conviene destacar la respuesta al incidente. Y negarse a pagar es una estrategia conveniente que ayuda a no alimentar la ‘bestia’ en la que se ha convertido el Ransomware.