2022年《GTA6》泄露案的主犯剛被關(guān)進(jìn)醫(yī)院，同一撥黑客又摸進(jìn)了Rockstar的后臺(tái)。這次他們連技術(shù)演示都省了，直接發(fā)帖："4月14日前打錢，否則開閘。"

ShinyHunters——這個(gè)搞過微軟、谷歌、Ticketmaster的老牌團(tuán)伙——把勒索信寫得像外賣催單。沒有數(shù)據(jù)預(yù)覽，沒有威脅級(jí)別說明，只有一句"會(huì)讓你有若干煩人的（數(shù)字）麻煩"。這種敷衍程度，堪比程序員寫的"已知問題"文檔。

Rockstar的回應(yīng)同樣簡短。他們向Kotaku確認(rèn)"第三方數(shù)據(jù)泄露"，強(qiáng)調(diào)"少量非核心公司信息"被訪問，"對組織和玩家無影響"。

措辭很標(biāo)準(zhǔn)，但時(shí)機(jī)微妙。距離《GTA6》第二部預(yù)告片發(fā)布不到半年，任何風(fēng)吹草動(dòng)都會(huì)被放大。

兩年前的泄露案，把一個(gè)孩子送進(jìn)了醫(yī)院

2022年9月，Lapsus$組織攻破Rockstar系統(tǒng)，泄露了90多段《GTA6》開發(fā) footage。當(dāng)時(shí)18歲的主犯Arion Kurtaj被判"無限期住院治療"——英國法律對精神狀況不適合服刑者的特殊處置。

那起案件暴露了游戲行業(yè)的結(jié)構(gòu)性脆弱：開發(fā)周期動(dòng)輒十年，代碼和素材在云端流轉(zhuǎn)數(shù)年，攻擊窗口比發(fā)售窗口長得多。

ShinyHunters選擇此時(shí)出手，可能算準(zhǔn)了Rockstar的軟肋。2022年泄露后，公司被迫提前官宣《GTA6》，打亂了營銷節(jié)奏。對一家靠懸念吊胃口的廠商來說，信息失控比信息丟失更致命。

"非核心信息"的模糊地帶

Rockstar的聲明留有余地。"非核心"可以指內(nèi)部郵件模板，也可以指未公布的DLC排期。ShinyHunters的沉默同樣可疑——如果他們真的拿到了猛料，通常會(huì)選擇分期放料施壓，而非一次性倒計(jì)時(shí)。

這種雙向的信息 withholding，讓外界難以判斷威脅等級(jí)。

第三方供應(yīng)商泄露是近年游戲業(yè)的通病。2023年Insomniac Games遭勒索，1.3TB數(shù)據(jù)外流，包括《金剛狼》完整開發(fā)計(jì)劃；同年Capcom、EA均遭遇類似事件。游戲公司的供應(yīng)鏈安全，正在變成比反作弊更難啃的骨頭。

勒索軟件的"疲勞戰(zhàn)術(shù)"

ShinyHunters的簡短勒索信，可能是一種策略性降級(jí)。當(dāng)受害者對數(shù)據(jù)泄露脫敏，冗長的威脅反而顯得虛張聲勢。短促的 deadline 制造緊迫感，模糊的"數(shù)字麻煩"保留想象空間。

Rockstar選擇公開承認(rèn)而非私下談判，說明他們評(píng)估后認(rèn)為：承認(rèn)的成本低于被突然爆料的不可控成本。

4月14日的 deadline 已過。截至發(fā)稿，ShinyHunters的網(wǎng)站上那條帖子仍在，但尚未出現(xiàn)大規(guī)模數(shù)據(jù)泄露的報(bào)道。是Rockstar付了錢，還是黑客手里本來就沒貨？

游戲行業(yè)的安全團(tuán)隊(duì)現(xiàn)在可能都在問同一個(gè)問題：當(dāng)你的"第三方"被攻破時(shí)，你怎么證明自己不是下一個(gè)？