Dados hackeados da CD Projekt RED podem já ter sido vendidos por hackers

Na terça-feira (09) a CD Projekt RED comunicou que foi vítima de um ataque de ransomware, no qual dados da empresa ficaram comprometidos. Os hackers direcionaram à empresa uma nota de resgate que ameaçava liberar os dados caso “não chegassem a um acordo”. Hoje, o grupo malicioso afirmou ter vendido as informações da desenvolvedora.

Desde o começo, a CD Projekt afirmou que não negociaria com os hackers, e disse estar ciente de que isso poderia causar o vazamento dos dados. A empresa também comunicou que todos os backups pré-existentes permaneceram intactos, e a partir do primeiro sinal de comprometimento, começaram a ser restaurados.

Após a recusa de ceder aos hackers, o código-fonte de Cyberpunk 2077, Witcher 3, Gwent e uma “versão não lançada do Witcher 3”, além de documentos internos, foram postos à venda em um leilão online entre compradores de um fórum de hackers.

Nesta quinta-feira (11), a conta do Twitter da empresa de segurança cibernética Kela revelou imagens que indicavam que o leilão havia sido encerrado precocemente, a pedido do comprador. Outra conta de segurança cibernética, a vx-underground, confirmou o fechamento. 

Continua após a publicidade

Ambas as contas afirmaram que o valor inicial da compra era de 1 milhão de dólares, com a opção de comprar imediatamente — sem aguardar os próximos lances — por 7 milhões de dólares.

O site Wired consultou Brett Callow, o analista de ameaças da empresa de segurança virtual Emsisoft, que afirmou que esse ataque parece envolver um tipo de ransomware chamado HelloKitty, de acordo com o estilo da ameaça.

CD Projekt RED/Divulgação

Callow ainda comentou que o HelloKitty não é utilizado com frequência, e a vítima mais notável e recente foi a companhia mineira de energia elétrica, a CEMIG, que sofreu ataques aos sistemas no final de 2020.

Em seu primeiro comunicado sobre o incidente, a desenvolvedora de The Witcher 3 e Cyberpunk 2077 informou à comunidade que, até onde se sabe, os sistemas comprometidos não possuíam quaisquer informações pessoais dos jogadores ou usuários dos serviços prestados pela CDPR.