Le studio de jeu vidéo Insomniac Games victime d’une fuite massive de données après une attaque par rançongiciel

Alors que Spider-Man 2 figure encore dans de nombreux classements des meilleurs jeux vidéo de l’année, son créateur, Insomniac Games, est dans la tourmente. Une attaque par rançongiciel, révélée une semaine auparavant, a conduit mardi 19 décembre à la divulgation en ligne de fichiers internes du studio californien.

Selon le site spécialisé Cyberdaily, la fuite engloberait plus de 1,3 million de fichiers, soit 1,67 téraoctet de données. Les hackeurs exigeaient 50 bitcoins (l’équivalent d’un peu moins de 2 millions d’euros) pour que les documents ne soient pas mis en ligne. Ni Insomniac Games ni Sony, qui a racheté le studio en 2019 pour 229 millions de dollars (200 millions d’euros), n’ont pour l’heure réagi à ce qui constitue l’un des plus importants vols de données jamais réalisés dans le secteur du jeu vidéo.

Les documents dévoilent de nombreuses informations sur la prochaine production du studio, Wolverine. Le lancement de cette adaptation des aventures du mutant, un personnage central du groupe de super-héros X-Men de Marvel, n’est pas prévu avant 2025. A cela s’ajoute la feuille de route des prochains projets d’Insomniac Games jusqu’en 2030, dont certains étaient encore confidentiels, des discussions internes avec Sony, ainsi que des données personnelles sur leurs employés. Autant d’informations issues de documents volés qui font actuellement débat – faut-il les relayer dans des articles ? – parmi les journalistes spécialistes du jeu vidéo.

Qui est derrière le hack ?

Le groupe à l’origine de l’attaque est baptisé Rhysida. Apparu en mai 2023, il rassemble tous les marqueurs des acteurs spécialisés dans le rançongiciel, du nom de ces virus conçus pour paralyser des réseaux d’entreprises et organisations, utilisés ensuite pour demander le paiement d’une rançon aux victimes. Comme la plupart des groupes en activité, Rhysida est un rançongiciel « as a service » (« en tant que service »), c’est-à-dire qu’un vaisseau mère conçoit le logiciel malveillant et son infrastructure puis les loue à d’autres acteurs, spécialisés dans l’intrusion dans des réseaux informatiques.

Rhysida pratique par ailleurs ce que l’on appelle la « double extorsion » : en plus de paralyser les machines de leurs victimes, les pirates exfiltrent des données confidentielles puis menacent de les diffuser en ligne si la rançon n’est pas payée. Le groupe s’est fait connaître en attaquant la British Library, au Royaume-Uni, ou encore en pénétrant dans des serveurs appartenant à l’armée chilienne.

Que sait-on sur ces pirates ? Plusieurs rapports techniques publiés par des entreprises spécialisées suggèrent qu’un lien existe entre eux et Vice Society, un autre acteur spécialisé dans le rançongiciel, qui s’est distingué en visant massivement des écoles et organisations du secteur de la santé. Le groupe a d’ailleurs émergé alors même que le nombre d’attaques menées à l’aide du rançongiciel de Vice Society était en forte chute. Par ailleurs, comme le relève le site spécialisé Bleeping Computer, Rhysida ne semble pas non plus avoir de scrupules à attaquer frontalement le secteur de la santé, déclaré comme « hors limite » par d’autres acteurs du rançongiciel.

De précédents piratages majeurs

D’autres studios de jeux vidéo emblématiques ont auparavant été la cible de piratages suivis de la publication de leurs données en ligne. Aucun n’a connu une hémorragie de documents internes d’une ampleur similaire à celle d’Insomniac Games.

En septembre 2022, Rockstar Games a été confronté à la diffusion en ligne d’images de Grand Theft Auto VI (GTA VI), un an avant la première bande-annonce de la suite très attendue de GTA V. En 2021, CD Projekt Red a été attaqué par le rançongiciel du groupe HelloKitty, lequel a par la suite affirmé avoir volé des données ainsi que le code source complet des jeux vidéo Thronebreaker, The Witcher III et Cyberpunk 2077. En avril 2020, Naughty Dog a vu des pans entiers de l’intrigue de The Last of Us II affichés sur Internet avant la sortie du jeu en raison du piratage d’un serveur.

C’est donc sans surprise que le coprésident de ce studio, Neil Druckmann, a affiché mardi sur X son soutien « à ses amis » d’Insomniac Games. De nombreux développeurs et entreprises du secteur ont partagé des messages similaires sur les réseaux sociaux, rappelant que de telles attaques ont aussi des conséquences sur le moral des employés. « Les hackeurs ont fait fuiter des informations personnelles, c’est odieux et honteux », a par exemple déclaré le studio finlandais Remedy (Alan Wake II) sur X.

Spider-Man 2 a battu des records de ventes pour une exclusivité Sony lors de son premier jour de lancement, le 20 octobre, avec 2,5 millions d’exemplaires écoulés. En tout, les trois adaptations de Spider-Man par Insomniac Games cumulent plus de 37 millions de ventes.