Nintendo se enfrenta a un posible incidente después de que un actor de amenazas afirmara haber robado casi una década de datos corporativos internos y exigiera un rescate de 2 millones de dólares para evitar que la información se hiciera pública.
Si bien el gigante de los juegos no ha confirmado la supuesta violación, los investigadores de Cybernews que revisan muestras de los datos filtrados dicen que partes del material parecen creíbles.
“La muestra contiene datos de recursos humanos, como encuestas de opinión y cuestionarios sobre cómo se sienten los empleados en el trabajo”. los investigadores notaron después de examinar los archivos publicados por el actor de amenazas.
Conclusiones clave de la infracción
- Un actor de amenazas conocido como ShadowByte$ afirma haber robado aproximadamente 859 MB de datos de Nintendo y exige un rescate de 2 millones de dólares para evitar su liberación.
- Las muestras filtradas supuestamente contienen nombres de empleados, direcciones de correo electrónico corporativas, encuestas sobre la fuerza laboral, informes internos, métricas de desempeño y documentos de planificación.
- Los investigadores encontraron indicadores que sugieren que partes de los datos pueden ser auténticas, incluidos registros de encuestas a empleados que datan de 2016 y referencias a empleados actuales de Nintendo.
- Aún no está claro si Nintendo se vio comprometida directamente o si los atacantes obtuvieron acceso a través de un tercero proveedor como la plataforma de participación de los empleados TinyPulse.
- El incidente pone de relieve los crecientes riesgos de seguridad asociados con las aplicaciones empresariales de terceros que almacenan datos corporativos y laborales confidenciales.
Dentro del supuesto incidente de datos de Nintendo
El actor de amenaza, operando bajo el nombre ShadowByte$, publicó las acusaciones en un foro sobre delitos cibernéticos, afirmando poseer aproximadamente 859 MB de datos internos de Nintendo y exigiendo un rescate de 2 millones de dólares para evitar su divulgación.
Según los investigadores que revisaron las muestras publicadas por el actor, el conjunto de datos puede contener nombres de empleados, direcciones de correo electrónico corporativas, encuestas de participación de la fuerza laboral, análisis internos, métricas de desempeño organizacional, informes exportados y documentación de planificación.
Los investigadores encuentran señales de que los datos pueden ser auténticos
Si bien el alcance total y la autenticidad de la supuesta violación aún no se han verificado, los investigadores identificaron varios indicadores que sugieren que al menos partes de los datos pueden ser legítimos.
Según se informa, las muestras incluyen encuestas de participación de los empleados y registros de comentarios en el lugar de trabajo que se remontan a 2016, lo que respalda la afirmación del actor de amenazas de que la información robada abarca un período de diez años hasta 2026.
Los investigadores también identificaron referencias a personas que parecen seguir siendo empleadas de Nintendo, lo que otorga credibilidad adicional a partes del conjunto de datos filtrado.
Además, los metadatos de algunos archivos exportados supuestamente mostraban fechas de creación del 28 de enero de 2026, lo que sugiere que es posible que se haya accedido o exportado al menos algunos registros más recientemente.
Quedan dudas sobre la fuente de los datos.
A pesar de estos hallazgos, quedan dudas sobre cómo se obtuvieron los datos.
Los investigadores dijeron que las muestras disponibles no proporcionan evidencia suficiente para determinar si Nintendo fue comprometida directamente o si los atacantes obtuvieron acceso a través de un proveedor de servicios externo que manejaba información relacionada con los empleados.
Para aumentar la incertidumbre, ShadowByte$ hizo referencia a TinyPulse, una plataforma de participación de los empleados utilizada por las organizaciones para recopilar comentarios anónimos de la fuerza laboral y medir la satisfacción de los empleados.
Si es exacto, el incidente podría resaltar los riesgos actuales asociados con proveedores externos que almacenan datos corporativos confidenciales. A medida que las organizaciones dependen cada vez más de plataformas comerciales basadas en la nube, un compromiso que involucre a un proveedor confiable puede exponer información de múltiples clientes.
Nintendo no ha confirmado públicamente las afirmaciones del actor de amenazas al momento de esta publicación.
Cobertura de seguridad de lectura obligada
Cómo reducir el riesgo de terceros
Aunque Nintendo no ha confirmado la supuesta incumplimientolos equipos de seguridad pueden utilizar el incidente como recordatorio para revisar los controles que rodean a los empleados y las plataformas relacionadas con recursos humanos.
- Realice evaluaciones de seguridad periódicas de proveedores externos de recursos humanos, gestión de la fuerza laboral y participación de los empleados para identificar y abordar riesgos potenciales.
- Aplique controles de acceso estrictos, incluida la autenticación multifactor (MFA), permisos con privilegios mínimos y revisiones rutinarias del acceso de los usuarios.
- Supervise las plataformas de recursos humanos y SaaS para detectar accesos no autorizados, actividades inusuales y exportaciones de datos a gran escala que podrían indicar una filtración de datos.
- Implemente controles y cifrado de prevención de pérdida de datos (DLP) para proteger la información confidencial de los empleados, los informes internos y los datos organizacionales.
- Minimice la recopilación y retención de comentarios de los empleados, respuestas a encuestas y otros datos confidenciales de la fuerza laboral para reducir la exposición potencial.
- Establezca un monitoreo continuo de las integraciones de proveedores, las conexiones API y las configuraciones de SaaS para detectar brechas de seguridad y configuraciones incorrectas.
- Pruebe los planes de respuesta a incidentes mediante ejercicios prácticos y simulaciones de infracciones, incluidos escenarios que involucren compromisos de proveedores externos.
Juntas, estas medidas pueden ayudar a las organizaciones a reducir su exposición a riesgos de terceros y, al mismo tiempo, desarrollar resiliencia contra incidentes futuros.
Nota del editor: este artículo apareció originalmente en nuestra publicación hermana, eSeguridadPlaneta.
