Los jugadores lo encontraron antes de que el estudio dijera nada

Un investigador de seguridad publicó un informe en GitHub, recogido por Inven Global en su primera cobertura, que describía tres archivos JavaScript oficiales en el CDN de Level Infinite que el launcher de Windows de Goddess of Victory: NIKKE carga cada vez que se abre. Según ese informe, los archivos habían sido alterados para descargar y ejecutar una herramienta de acceso remoto. Siliconera y CyberInsider coincidieron en que un tercero había manipulado el launcher.

Inven Global señaló además que los primeros artículos salieron antes de que la editora comentara nada. Ese hueco forma parte de la historia: durante un tiempo los jugadores no sabían si debían abrir el juego o no.

Qué podía hacer la herramienta, según los informes

El artículo de CyberInsider indica que la carga maliciosa podía ejecutar comandos, hacer capturas de pantalla, extraer archivos y robar credenciales guardadas y cookies de sesión. La fecha de inicio varía entre fuentes. Algunas apuntan a la última semana de octubre, mientras que el aviso de Level Infinite, según lo relata Inven Global, da un punto de partida distinto. Por eso lo más prudente es hablar de "finales de octubre en adelante", y quien se vea afectado debería seguir el aviso de la editora y no una cronología de prensa.

El aviso describe una comprobación manual de una entrada concreta en un registro de depuración del launcher, con la advertencia de que que no aparezca la entrada no demuestra nada si el juego se reinstaló o se borraron los registros. También recomienda cambiar contraseñas desde un dispositivo limpio y activar la verificación en dos pasos.

Qué hicieron después las compañías

Shift Up y Level Infinite aseguran que las correcciones del cliente salieron de madrugada el 4 de noviembre (hora de Corea), y Inven Global informa de que el CEO de Shift Up pidió disculpas públicamente. Según el mismo medio, el 5 de noviembre se aplicó una función que detecta y elimina el programa malicioso al ejecutar el cliente oficial, se prepara una compensación dentro del juego y se revisarán por atención al cliente los casos de daños en cuentas o pérdidas económicas. La versión móvil figura como no afectada, y Tencent dijo a Inven Global que no ha visto señales de que otros juegos se vieran comprometidos.

Por qué debería importarle a un equipo pequeño

La mayoría de los equipos indie no tiene un launcher propio. Pero muchos cargan algo desde fuera de la build: una vista web para las notas de parche, un fragmento de analítica, un SDK de tienda, un manifiesto de actualización. Todo lo que tu juego descarga y ejecuta en tiempo de ejecución forma parte de tu superficie de ataque, y suele quedar fuera de la pasada normal de pruebas.

Hay hábitos baratos que ayudan. Haz una lista de todos los recursos remotos que toca una build al arrancar. Fija versiones o comprueba hashes de los scripts cuando puedas. Mantén la verificación en dos pasos en las cuentas que controlan tu CDN, tu tienda y tus servidores de compilación. Y ensaya el comunicado: quién lo escribe, dónde se publica y con qué rapidez, porque lo que los jugadores recuerdan son las primeras horas de silencio.

Nada de esto sale en los titulares hasta que falla. Una lista de lanzamiento que incluya "¿qué descarga esta build y desde dónde?" es el tipo de QA aburrido que en IndieBug nos gusta ver en el proceso de un estudio antes del día de lanzamiento, no después.