2017年2月4日1:39（GMT +3）にCD Projekt REDチームは、サーバーが侵害されたことを警告するメールをユーザーに送信しました。 cdprojektred.comフォーラムサーバーが攻撃を受けていました。 Steamでの積極的なプロモーションの前、The Witcherに関する一連のゲームの最初の部分のリリース中、多くは開発者のサーバーに登録されていました。 現時点では、フォーラムはほぼ廃止されましたが、データベースログイン、電子メールアドレス、およびユーザーパスワードに含まれていました。
データベースリークの事実は今だけ発見されましたが、インシデント自体は2016年3月に発生しました。 ほとんどのユーザーは1年前にサードパーティのGOG.comアカウントに移行され、2段階認証が行われました。 ただし、一部のユーザーはデータを更新しませんでした。 良いニュースは、 パスワードがハッシュ化され、ソルト化されたことです 。これにより、パスワードに対する辞書攻撃が不可能になり、データベースの自動検索が非常に難しくなります。
一般に、ユーザーに対するこの態度は非常に喜ばれます。 ユーザーのパスワードが危険にさらされる可能性が低く、リーク後にかなりの時間が経過したにもかかわらず、チームはインシデントを隠しませんでした。 念のため、同じデータでパスワードを登録した場合は、パスワードを変更し、他のアカウントでセキュリティ設定を指定します。
元の手紙のテキスト：
親愛なるフォーラムユーザー、
最近、2016年3月に、古くなったcdprojektred.comフォーラムデータベースに権限のない者がアクセスしたことが注目されました。
ほぼ1年前のフォーラムメンバーはログイン目的で安全なGOG.comアカウントを作成するよう求められていたため、イベントの時点ではデータベースは使用されていませんでした。 これらのアカウントは、2段階認証によってさらに保護されています。 それ以降、フォーラムエンジンも最新の最も安全なバージョンにアップグレードされ、アクセスを許可した脆弱性が修正されました。
廃止されたフォーラムデータベースには、ハッシュされ、「塩漬け」されたユーザー名、メールアドレス、パスワードが含まれていたと理解しています。 これは、データベースに保存され、アクセスされたパスワードの「塩ハッシュ」です。 パスワードはプレーンテキストで保存されていないため、誰も直接アクセスできません。
アカウントをGOG.comのログインシステムに接続しなかったため、アカウントは新しいフォーラムに移行されず、ユーザー側でのアクションは不要です。 ただし、他のサービスに古いフォーラムパスワードを使用した場合は、変更することをお勧めします。 また、複数のサービスで同じパスワードを使用しないでください。
イベントの時点から、追加の外部セキュリティテストを実施しました。このような状況が将来発生しないようにするための努力を倍増します。
影響を受けたすべての人に深く謝罪したいと思います。
CD PROJEKT REDフォーラムスタッフ