Secondo una dichiarazione, CD Projekt RED, lo sviluppatore polacco di Cyberpunk 2077, The Witcher, e proprietario del negozio online GOG.com, è stato vittima di una violazione dei dati perpetrata da ignoti che chiedevano un riscatto. La dichiarazione è stata pubblicata il 9 febbraio 2021 tramite l'account Twitter ufficiale di CDPR:
Aggiornamento importante pic.twitter.com/PCEUhAJosR
-CD PROJEKT RED (@CDPROJEKTRED) Febbraio 9 2021
La dichiarazione di CD Projekt RED rileva che l'8 febbraio 2021 la società ha scoperto di essere stata vittima di un "attacco informatico mirato" che aveva compromesso alcuni dei suoi sistemi interni. L'autore, che non è stato ancora identificato, ha raccolto alcuni dati dell'azienda e ha lasciato una richiesta di riscatto. Alcuni dispositivi aziendali, ad esempio workstation o server, sono stati crittografati con successo dall'attaccante, ma i backup CDPR rimangono intatti. Da allora, l'infrastruttura IT è stata messa in sicurezza ed è iniziato il processo di ripristino dei dati. A sua conoscenza, i dati dei giocatori o degli utenti dei servizi di CD Projekt RED non sono stati violati. CD Projekt RED ha dichiarato che non accetterà le richieste dell'attaccante né negozierà. È in contatto con le autorità polacche e gli specialisti di informatica forense e collaborerà con loro nelle indagini sull'incidente.
È stato anche pubblicato uno screenshot della richiesta di riscatto dell'attaccante, un file di testo normale. In esso, l'attaccante afferma di aver violato uno dei server di CDPR acquisito ("dumping") copie complete del codice sorgente per Cyberpunk 2077, The Witcher 3: Caccia Selvaggia, Gwent, e una “versione inedita di Witcher 3“. Hanno anche affermato di possedere documenti relativi alla contabilità, amministrazione, giustizia e altre questioni relative alle operazioni interne della società. L'attaccante ha chiesto a CD Projekt RED di contattarli entro 48 ore per saldare il riscatto, o rischiare che il loro codice sorgente "venduto o fatto trapelare online" e il loro materiale "inviato ai nostri contatti nel giornalismo di gioco".
Le violazioni dei dati e gli attacchi ransomware stanno diventando più comuni man mano che sempre più aziende si collegano online. Gli editori e gli sviluppatori di giochi sono bersagli popolari sia per potenziali tentativi di riscatto che semplicemente per acquisire dati sensibili, come prototipi di giochi o informazioni personali. Ad esempio, solo nel 2020 Nintendo ha subito due gravi violazioni: una ha interessato gli account di centinaia di migliaia di utenti Nintendo ID e l'altra ha portato alla pubblicazione di una grande quantità di informazioni provenienti dallo sviluppo di sistemi come Nintendo 64 e Wii .
Al momento, i vari servizi di CD Projekt RED sembrano inalterati, incluso GOG.com. Sebbene la società abbia affermato che nessun dato utente è stato esposto dalla violazione, potrebbe essere una buona idea aggiornare le credenziali dell'utente se gestisci gli account su un servizio o un gioco gestito da CDPR.
