Rockstar Games, ShinyHunters grubunun öne sürdüğü sızıntı iddiasının ardından üçüncü taraf kaynaklı bir veri ihlalini doğruladı. Grup, şirketin bulut sistemlerine ulaştığını öne sürerken Rockstar, ele geçirilen verilerin “sınırlı miktarda ve şirket açısından maddi olmayan” bilgilerden oluştuğunu söyledi. Şirket ayrıca olayın oyunculara ya da operasyonlara etki etmediğini de açık biçimde vurguladı. Bu açıklama, özellikle Grand Theft Auto VI çevresindeki yüksek beklenti düşünüldüğünde yatırımcılar ve oyuncular için en kritik güvenceyi veriyor.
Saldırının arkasındaki ShinyHunters, Rockstar’a 14 Nisan 2026 tarihine kadar ulaşması için süre verdiğini yazdı ve “pay or leak” mesajıyla açık bir fidye baskısı kurdu. İlk haberler Hackread ve Cybersec Guru üzerinden yayılırken daha sonra Kotaku, Engadget ve The Verge gibi yayınlar Rockstar’ın doğrulamasını aktardı. Ne var ki grup şu ana kadar eline hangi dosyaların geçtiğini ayrıntılı biçimde açıklamadı. Bu yüzden bugün için elimizdeki en sağlam veri, Rockstar’ın sızıntının kapsamını sınırlı göstermesi ve oyuncu verilerinin etkilenmediğini söylemesi oluyor.
Bazı haberlerde saldırının, Rockstar’ın doğrudan altyapısından çok üçüncü taraf bir SaaS entegrasyonu üzerinden geliştiği belirtiliyor. Özellikle The Verge, Tom’s Hardware ve PC Gamer çizgisindeki raporlar, olayın Snowflake ortamlarına bağlanan Anodot adlı analiz hizmeti üzerinden gelişmiş olabileceğini aktarıyor. Rockstar bu teknik ayrıntıyı kendi açıklamasında doğrulamadı, bu noktayı belirtmeden geçmeyelim. Yani şirket veri ihlalini kabul ediyor, ancak saldırganların erişim yöntemine dair daha ayrıntılı teknik resmi henüz resmi ağızdan görmüyoruz.
Üçüncü taraf riski yeniden öne çıktı
Aslına bakarsanız bu olay, oyun şirketlerinden çok daha geniş bir sorunu yeniden öne çıkarıyor. Son yıllarda kurumsal veri ihlallerinde saldırganlar sık sık doğrudan hedefi değil, hedefin bağlı olduğu servis sağlayıcıyı ya da entegrasyon katmanını vuruyor. Reuters’ın 2024 tarihli haberine göre Ticketmaster vakasında da üçüncü taraf bulut veritabanı ortamı öne çıkmıştı ve ShinyHunters adı yine bu dosyada geçmişti. Bu yüzden Rockstar cephesindeki son olay, klasik bir “oyun stüdyosu hacklendi” başlığından daha fazlasını anlatıyor, şirketlerin dış servis zincirlerinin artık en az kendi altyapıları kadar kritik olduğunu gösteriyor.
Rockstar için bu dosyayı daha hassas kılan unsur ise tabii ki 2022’deki büyük GTA VI sızıntısı. O saldırıda internete çok sayıda erken oynanış videosu düşmüş, olay oyun dünyasında uzun süre konuşulmuştu. Daha sonra Reuters’ın aktardığı üzere Lapsus$ bağlantılı 18 yaşındaki Arion Kurtaj, Uber ve Rockstar dahil çeşitli saldırılar nedeniyle süresiz hastane gözetimine gönderildi. Bununla birlikte bu yeni olayın kapsamı şimdilik 2022’deki kadar ağır görünmüyor. Rockstar’ın tonu da bunu destekliyor, şirket krizi büyütmek yerine sınırlı şirket içi bilgi erişimi yaşandığını söyleyerek alanı dar tutuyor.
Uzun lafın kısası Rockstar şu aşamada oyuncuların paniğe kapılması gereken bir tablo çizmediğini söylüyor, ancak 14 Nisan eşiği yaklaşırken ShinyHunters’ın yeni bir sızıntı yayımlayıp yayımlamayacağını takip etmek gerekecek. Test ettiğimizde benzer vakalarda asıl etkiyi ilk doğrulama değil, sonradan gelen belge örnekleri ve şirketin ikinci açıklaması belirliyor. Bu nedenle önümüzdeki 24 saat içinde yeni dosyalar ortaya çıkarsa, olayın “maddi olmayan şirket bilgisi” çerçevesinin ne kadar dar ya da geniş olduğunu daha net görebileceğiz.
