CD Projekt: interne bedrijfsdata buitgemaakt bij hack wordt nu online gedeeld

CD Projekt denkt dat er nu interne bedrijfsdata wordt verspreid die bij de ransomwareaanval in februari is buitgemaakt. Het bedrijf kan niet bevestigen om wat voor data het gaat en of deze data is aangepast. Mogelijk gaat het om werknemersgegevens en gamedata.

De uitgever schrijft op donderdag meer informatie te hebben gekregen over de aanval. Op basis van deze informatie zegt CD Projekt 'redenen te hebben om te geloven' dat de interne data nu wordt gedeeld. Het is niet duidelijk of het bedrijf de gedeelde data zelf heeft ingezien. Het lijkt erop dat dit niet het geval is; CD Projekt zegt 'de precieze inhoud niet te kunnen bevestigen'. De uitgever kan daarmee ook niet bevestigen dat de data authentiek is en niet is aangepast. Het bedrijf stelt dat het mogelijk gaat om gegevens van huidige en voormalige werknemers en gamedata.

CD Projekt zegt samen te werken met cyberexperts en politiediensten, waaronder de Poolse nationale politie. Ook Interpol en Europol zijn gecontacteerd. De Poolse Data Protection Office is eveneens geüpdatet over de nieuwe informatie.

Sinds de aanval zegt het bedrijf meerdere stappen te hebben ondernomen om een volgende aanval te voorkomen. Zo is onder meer de kern IT-infrastructuur opnieuw ontworpen, zijn er nieuwe firewalls met verbeterde anti-malwarebescherming geïmplementeerd en is het aantal privileged accounts beperkt.

Afgelopen weekend werd bekend dat de broncode van onder meer Cyberpunk 2077 en The Witcher 3 mogelijk online zijn verschenen. Deze code is versleuteld; de criminelen vragen 10.000 dollar voor de decryptiesleutels. CD Projekt verwachtte in februari, toen de hack bekend werd, al dat de data gepubliceerd zou worden.

Reacties (74)

[Pompi]

Als je dit doet om het bedrijf te stangen of toch te dwingen om geld te betalen, prima maar doe dan niks met werknemergevens want die kunnen er niks aan doen dat er niet is betaald maar er wel erge hinder van onder vinden als hun gegevens of info over hun gelekt wordt.
Ik weet dat er eigenlijk geen honour among thieves is, maar je hoopt toch dat ze een beetje rekening houden met de normale mens op de werkvloer

[tw_gotcha]

ze zullen daar totaal geen rekening mee houden denk ik. Dit zijn mensen die ziekenhuizen platleggen. en ook het aftroggelen van smeergeld treft werknemers indirect. Gewoon mafia praktijken. Geen enkel gevoel van empathie.

[Reactie gewijzigd door tw_gotcha op 27 juli 2024 23:33]

[xtrme]

maar wat verzekerd CDP, of welk bedrijf, dan ook als ze betalen dat het niet alsnog gebeurt

komt dan niet de volgende partij, die dan bijv een kopie heeft gekocht voor een stuiver

what goes on the internet, stays on the internet

[Reactie gewijzigd door xtrme op 27 juli 2024 23:33]

[detheavn]

Betrouwbaarheid aangaande het verwijderen van data is het enige wat (ransomware)hackers hebben om je uberhaupt aan te zetten tot betalen. Als ze dat niet zijn, dan betaalt namelijk niemand meer en dan houdt het hele feest op aangezien er niets aan te verdienen valt. Het gaat ze namelijk niet om het "lol, kijk hoe goed wij zijn, jouw data gaat de wereld in", het gaat puur om geld. Ik durf bijna te wedden dat veel van deze gasten betrouwbaarder zijn mbt het verwijderen van je data dan een Facebook of Google.

[devices]

Dat lijkt mij niet. Er zijn veel voorbeelden waar geld werd betaald en de data niet decrypt werd. Meerdere voorbeelden:

According to the new report, certain groups are leaking stolen data after a ransom was paid, using fake data as proof of deletion, or even re-extorting a victim using the same data that was paid not to be released.

https://www.bleepingcompu...te-stolen-data-when-paid/

Dan heb je ook dat bij de traditionele ransomware ook dat bij een groot deel (37%) niet alle data decrypt werd of alleen gedeeltelijk.

Dus welke reputatie is er dus precies volgens jou?

[Kastermaster]

Ik vind dat wel een interessante stelling. Ik denk dat je gelijk hebt. Maar het probleem is dat je niet even een rechtszaak aan kunt spannen tegen hackers als ze zich niet aan afspraken houden en dat kan bij Google en Facebook wel. Het gaat dus om de - wat ik dan maar even noem - juridische betrouwbaarheid

[Skywalker27]

Dit heeft zich al bewezen in het verleden dat als criminelen dit niet doen helpen ze hen eigen verdien model om zeep. En wordt er al snel niet betaald het wereldje wat de bedrijven ondersteund bij deze aanvallen is erg klein.

[densoN]

Maar wat als ik data gijzel van een aantal grote e-corps, zij (met behulp/op aanraden van verzekering) flinke geldsommen overmaken en ik vervolgens mijn afspraken niet nakom. Zou ik dan als een verlosser worden gezien, als bedrijven en verzekeraars vervolgens besluiten om niet langer mee te doen aan het spelletje en het hele ransomware gebeuren op termijn uitsterft? Tijd voor weekend

[Skywalker27]

Nee zo werkt het niet elk type Ransomware heeft een signaturen en weten we vaak wel uit welke richting komt en inderdaad als bekend is dat deze groep zijn beloftes niet nakomt wordt er inderdaad niet betaald. Dit zijn vaak geen one man shows ze hebben soms zelfs complete support desks opgetuigd die meer talen ondersteunen dan je eigen IT leverancier.

[nst6ldr]

Ik durf bijna te wedden dat veel van deze gasten betrouwbaarder zijn mbt het verwijderen van je data dan een Facebook of Google.

Dan denk ik dat je 'betrouwbaarheid' verkeerd gebruikt, want van FB en Google weet je gewoon dat ze je belazeren. Van criminelen weet je het niet, "honor among thieves" is echt een Hollywood ding.

[Dabrezzeman]

Hoezo belazeren? Je hebt zelf toch toestemming gegeven voor de toegang tot je privacy-gegevens!

[Robbaman]

Tuurlijk wel, als jij dreigt om de gegevens van de werknemers openbaar te maken o.i.d. dan verzeker je je ervan dat ook van binnenuit de organisatie zelf de maximale druk wordt uitgevoerd om het geld te betalen.

Als het alleen de werkgever is die wat code of intellectueel eigendom gelekt ziet worden, dan denk je als medewerker misschien "ah, whatever", maar als het jouw prive- en salarisgegevens zijn, dan ga je wel even bij de baas buurten om dat losgeld te laten betalen.

[LocK_Out]

Wat hier gebeurd is gewoon moedwillig een bedrijf ten gronde proberen te richten. Trieste acties dit.

Wat een bekrompen figuren leven er toch op de wereld.

[Reactie gewijzigd door LocK_Out op 27 juli 2024 23:33]

[Bezulba]

It's just business.

De volgende die ze hacken gaat wel 10x nadenken of ze wel of niet de randsom willen betalen. "Kijk wat we bij de vorige gedaan hebben, willen jullie ook graag falliet gaan?"

[pixeled]

Nope, dit is niet 'just business'. 'Gewone business' richt geen moedwillige schade aan bij anderen en opereren binnen de wet - daar is tenslotte de wet voor, gelijke spelregels voor iedereen zodat men elkaar zo weinig mogelijk schaadt.

Het is illegale business, en ik hoop dat deze gasten gevonden en hard aangepakt worden. Wij als gewone gebruikers worden hier op de lange termijn de dupe van. Hacks en ransomware waren het afgelopen jaar een plaag en als gevolg verwacht ik dat de politiek (terecht) steeds meer reden ziet om op het internet sterkere regels en surveillance in te voeren, met onherroepelijk gevolgen voor de vrijheid en privacy van de gewone burgers en bedrijven.

In mijn optiek dus zeker geen 'just business'.

[Division]

"just" business zou je echter niet moeten vertalen als "gewone" business, maar als "gewoon" business in de zin van "het is slechts business". Als je hem op semantics wil pakken dan moet je vertaling wel correct zijn.

[Reactie gewijzigd door Division op 27 juli 2024 23:33]

[Bezulba]

Het is hetzelfde als een drugs dealer een andere drugsdealer omlegt. Nothing personal kid, just business.

Het mag dan illegaal zijn, maar ze doen dit niet voor de lol, het gaat om de centen en als je met zo'n actie meer bedrijven aanmoedigd om te betalen is dat een win voor hun.

[Sharky]

Klopt. En daarom houdt het zichzelf in stand. Er wordt altijd geadviseerd om niet te betalen om er zo voor te zorgen dat dit soort acties geen geld meer opleveren, maar ik begrijp de bedrijven ook wel die tot stilstand zijn gekomen en daardoor veel meer schade oplopen.

[tw_gotcha]

just business? ik neem aan dat je dat niet zo licht bedoelt. Zoals ik hierboven zeg, dit zijn mensen die ziekenhuizen platleggen

[kodak]

Dat de criminelen fout zitten is duidelijk. Maar zou je opmerking net zo goed niet op kunnen gaan voor het bedrijf zelf, als ze kennelijk hun infrastructuur niet op orde hadden? Een bedrijf gaat niet zomaar ten gronden als risico's voldoende ingedekt zijn. En ook hier lees is weer niet dat dat het geval was. Net als dat klanten moedwillig je producten kunnen vermijden zodat je met een enorm probleem kan komen te zitten je investering niet terug te verdienen is dat net zo bij infrastructuur en gegevens.

[LocK_Out]

Dus als ik je overval en je portemonnee jat, had jij maar moeten zorgen dat ik dat niet had kunnen doen?

Slaat nergens op, maar we weten ook niet hoe de infrastructuur in elkaar zat en hoe alles precies gelopen is. Tegenwoordig met phishing en Social engineering is toegang tot Admin rechten krijgen niet ongewoon.

[Reactie gewijzigd door LocK_Out op 27 juli 2024 23:33]

[JobKlimop]

Dus als ik je overval en je portemonnee jat, had jij maar moeten zorgen dat ik dat niet had kunnen doen?

Met die redenatie zou ik dus met mijn portemonnee op een dienblaadje door de binnenstad kunnen lopen met de verwachting dat er "vast niks misgaat".

Het klopt dat de criminelen fout zitten, maar een deel van de verantwoordelijkheid ligt in dit geval ook zeker bij het slachtoffer. Compleet afbakenen kan nooit en ik ben het met je eens dat er genoeg manieren zijn om tóch binnen te komen als je het maar hard genoeg probeert. Als bedrijf kan je echter wel verwachten dat het een keer gaat gebeuren en moet je dus voorzorgsmaatregelen nemen om deze schade zo veel mogelijk te beperken.

Ik heb, net als jullie, geen idee hoe de infrastructuur eruit ziet bij CDPR. Maar, ik krijg ook niet de indruk dat enorm actief is ingezet op de beveiliging.

[tw_gotcha]

in feite wel ja. je zou je portmonnee ergens moeten kunnen vergeten en een vriendelijk medemens wijst je daarop. Dat kan de enige norm zijn. Zo niet dan heeft ieder nens die verkracht/mishandeld etc wordt daar deels zelf schuld aan. Dat het slim is om te voorkomen staat buiten kijf, maar dat kan niet de norm zijn.

[kodak]

Nee, ik stel juist de vraag waar de grens ligt als een bedrijf kennelijk zelf niet genoeg heeft gedaan om zich te beschermen, zonder het gedrag van de crimineel goed te praten.

Misschien is het je onbekend, maar we hebben niet voor niets verschil in strafmaat als de omstandigheden er meer naar gemaakt worden om diestal in de hand te werken. Dat is niet om de crimineel te belonen maar om duidelijk te zijn dat je ook zelf verantwoordelijkheid dient te nemen om diefstal of ondergang te voorkomen. Ik lees hier niet dat het bedrijf er echt aandacht voor had tot het mis ging, met gevolgen voor zichzelf, medewerkers, leveranciers en klanten.

[skozaa]

ag wel nee joh. Het boeid ze echt niet of het nu projekt red is of een ander bedrijf. Het gaat hier om geld en niet om t bedrijf

[n3z]

Vind dit echt oprecht vervelend voor ze. Wat kunnen mensen toch vals zijn.

[zzzzz]

Zeker als je bedenkt dat er mensen zijn die hier geld aan verdienen d.m.v. short selling van aandelen CDPR. Iedere tegenslag voor CDPR brengt bij handelaren geld in het laadje.

[SinergyX]

Gegevens van medewerkers, kan nog een gevolg krijgen van hun AVG ding? Geen idee hoe diefstal op zo'n manier tegenover 'lekken' zitten maar lijkt me toch gegevens zijn gegevens.

[Eonfge]

Mogelijk zou een werknemer van CDPR zijn werkgever in gebreken kunnen stellen, als de werkgever laks was. Immers, CDPR heeft aan zijn werkgevers de verplichting om hun privégegevens te beschermen.

Andersom, als werknemers aan de hand van de interne correspondentie kunnen zien dat je onterecht benadeeld zijn, dan kunnen ze de gelekte details gebruiken om hun gelijk te halen.

[Segafreak83]

Blijft lastig, beveiliging

[Reactie gewijzigd door Segafreak83 op 27 juli 2024 23:33]

[HADES2001]

correct, maakt niet uit hoe goed je beveiliging is zolang je op internet zit is er altijd kans dat een professionele hackersgroep bij je kan binnen komen. Veel tweakers hier doen wel alsof er een magische combo is maar realiteit blijft dat 100% veilig niet bestaat.

[Seth_Chaos]

Alleen komt bij dergelijke hacks toch altijd weer boven water, dat de beveiliging überhaupt zwaar ondermaats was.

[Polderviking]

Van welke hacks heb jij details dan?
Want ik ervaar juist een chronisch gebrek aan informatie die ook maar een beetje de details in gaan m.b.t. de omstandigheden waarin de hack heeft plaatsgevonden.
Dit is info waar de rest van de wereld wat van zou kunnen leren maar wordt vaak op in opdracht van ongetwijfeld juridici juist achtergehouden en daardoor weet je doorgaans precies niks over de toedracht.

[Reactie gewijzigd door Polderviking op 27 juli 2024 23:33]

[Loggedinasroot]

Ook als je niet op het internet zit hoor.

[Zebby]

Het probleem is vaak dat het beveiligen an sich niet zo lastig is, maar het veilig houden terwijl en honderden zo niet duizenden mensen aan moeten werken. En dat mag natuurlijk niet inefficient worden gemaakt met allerlei VPN's, firewalls, 2FA etc.

Overigens slim dat ze zeggen dat de data aangepast kan zijn, dan kunnen ze bij ieder ding de schouders ophalen en zeggen "nee hoor, zo stond het er niet, dat hebben zij gedaan!".

[redtails]

Stiekem denk ik eigenlijk dat er een kleine kans is dat dit hele gedoe nep is om publiciteit te genereren. Is er ooit bevestigd dat er echte data is buitgemaakt door een externe partij?

Mocht het echt zijn, dan is het uiteraard verschrikkelijk dat er zomaar persoonsgegevens en ongepubliceerde assets gestolen en doorverkocht zijn.

[Kheos]

gebaseerd op wat?
Cd Project doet wat ze in het verleden ook al eens gedaan hebben: open en eerlijk communiceren over een hack.
Hoezo publiciteit? Denk je nu echt dat ze daar in Polen denken dat er meer CD Project Red games gekocht worden na zo een nieuwsbericht?

[Kadardar]

Denk het niet, dit is geen positieve reclame namelijk. Wat voor publiciteit maakt CDPR hiermee behalve dan heel grof gezegd "we zijn een stel stumpers" en
"Sorry wij hadden het niet in orde maar nu wel! Weliswaar te laat me we hebben het aangepakt.".

Ik zou echt niet weten waarom je dit zou willen faken. Ik ga er eerder vanuit dat dit eerste instantie nog geprobeerd is om in de doofpot te stoppen eerste dagen/weken of maanden

[Asure]

Tweakers loopt achter, deze data is ook al tijden te koop. Decrypted data van games is al public.

Misschien eens nieuws over de EA hack van 780GB waarbij ze frostbite en fifa te pakken hebben gekregen? Anders haal ik tweakers maar uit mijn bookmarks denk ik

[RaiseCain]

Doei

[Kheos]

Dit gaat over het persbericht van CD project Red zelf. Je weet wel, dat bericht van 10 juni.
Maar ok hoor: tweakers loopt achter en je moet het uit je bookmarks halen.

[theduke1989]

Waar kan je de dev-kit vinden dan? Wil dat toch weleens zien.

[LadyVodka]

loontje komt om zijn boontje

[pascalnederland]

Triest