Tutti al sicuro: la protezione dei videogiochi non è un gioco
Analisi dei dati: Camila Cabrera Camacho
Copy editing: Maria Vlasak
Ringraziamenti speciali: Chris Finch, Alan Evans, Dan Greer, Ken Eaton e Todd Loewenstein per la loro consulenza
Il settore dei videogiochi è indubbiamente uno dei settori più influenti dei nostri tempi. Con 2,58 miliardi di giocatori in tutto il mondo e ricavi pari a 184,4 miliardi di dollari, questo gigante industriale è destinato solo a crescere visto che ogni generazione si affida sempre più alla tecnologia. In questa serie di blog in tre parti, andremo ad esplorare questo meraviglioso mondo dei videogiochi da diverse prospettive.
In questo post iniziale, ci concentreremo sulle sfide di sicurezza affrontate dal settore esaminando le statistiche degli ultimi 18 mesi (gennaio 2023 - giugno 2024).
Nel nostro secondo post, passeremo al 3D per discutere degli sviluppatori di giochi.
☁️ Nel nostro terzo e ultimo post con cui si concluderà la serie, forniremo una visione tecnica sui giochi distribuiti nel cloud..
Scegliete lo scenario, esperti di sicurezza
Una delle parti più interessanti del settore dei videogiochi è la sua esclusiva posizione in termini di sicurezza: le mine sono presenti nel cyberterreno ad ogni turno sia per i giocatori che per gli sviluppatori. Un giocatore medio è molto più esperto tecnologicamente rispetto alla maggior parte dei consumatori di altri settori, quindi una "minaccia interna" nel settore dei videogiochi può provenire dall'interno della rete o dall'interno della realtà digitale.
Questo settore ha anche un profilo prevalente di autore di minacce assolutamente esclusivo: il disturbatore. Qualcuno dice una cosa che non gli piace? Il disturbatore costruisce un bot per disconnetterlo. Un disturbatore può anche accaparrarsi la fiducia degli altri fingendo di essere un alleato nel gioco, quindi inviare payload o URL dannosi tramite la funzione della chat.
La composizione di una popolazione tecnologicamente esperta
Il settore apprezza la trasparenza e la collaborazione tra i giocatori e presenta una mentalità tecnologica, che, per sua propria natura, è antitetica rispetto al problema della sicurezza. Alcuni comportamenti considerati sospetti o anche dannosi per la sicurezza non sono luoghi comuni nel settore dei videogiochi, ma vengono anche adottati e incoraggiati, come, ad esempio, il modding, che è parte integrante della cultura dei videogiochi, e il botting, che è considerato parte della meccanica di gioco in alcuni scenari.
La comunità della sicurezza sa fin troppo bene che le stesse tattiche, tecniche e procedure che conferiscono alla comunità il suo fascino possono anche essere usate a scopi dannosi. Esiste una sovrapposizione nel diagramma di Venn tra persone appassionate di videogiochi e persone con competenze tecniche, il che crea opportunità sia per rompere le regole che per scoprire invenzioni tecniche.
Inoltre, ciò significa che gli obiettivi dei criminali possono essere diversi al punto da influire sulle tendenze negli attacchi. In quale altro settore se non nel mondo dei videogiochi potete acquisire denaro in due diversi regni? Potete anche farlo nello stesso tempo, se volete.
In questo post, discuteremo dei problemi di sicurezza che abbiamo osservato nel settore dei giochi negli ultimi 18 mesi.
Il profumo dei soldi online e offline
Oltre alle preoccupazioni informatiche delle lotte multiplayer, il settore dei giochi ha ancora da fare con tutti gli altri problemi di sicurezza che deve affrontare. Tutti sappiamo che i criminali più avidi vanno dove sentono il profumo dei soldi e questo settore potrebbe anche farsi pubblicità con i simboli del dollaro al neon.
Le minacce informatiche non sono sempre tecniche (come sappiamo bene!) e il comportamento dannoso non è esclusivo dei criminali. Alcune pubblicità mirate nei giochi sui dispositivi mobili potrebbero essere considerate dannose, o persino immorali, anche se non illegali. Ma, ovviamente, ci si riferisce alla pubblicità in generale, non specificamente al settore dei videogiochi. Indipendentemente dal loro intento, le pubblicità mirate influiscono sulle abitudini di spesa dei giocatori, che, a loro volta, influiscono sui successivi bersagli dei criminali.
Abbonamenti
Gli editori di videogiochi potrebbero utilizzare milioni di dollari per creare un gioco AAA (tripla A) e questi costi ricadrebbero sui consumatori. La differenza del costo di un gioco da 60 o da 70 dollari non è trascurabile e può influire sulla decisione di comprare (o meno) un gioco (e quando comprarlo) da parte dei giocatori attenti al budget, specialmente se sono disponibili tanti servizi in abbonamento.
Come per generi multimediali simili, i servizi in abbonamento regnano incontrastati nel settore del gaming. L'enorme numero di giochi disponibili sul mercato rende economicamente impossibile comprarli tutti. Se includiamo le versioni per i dispositivi mobili, oggi sono in circolazione più di una dozzina di servizi in abbonamento per i giochi, che lottano tutti per accaparrarsi una fetta della torta da 11,7 miliardi di dollari .
Aritmetica degli attacchi
Facciamo un po' di calcoli: + servizi in abbonamento = + account utente = + opportunità per il credential stuffing o l'abuso degli account. Inoltre, con l'aumento dei brand da impersonificare, sono maggiori i contenuti da imitare per i criminali nelle loro campagne di phishing o in altri truffe.
La saturazione di abbonamenti è reale e diventa costosa. Inoltre, esiste il problema dello spazio di archiviazione fisico o virtuale da considerare.
Gli attacchi DDoS al livello 7 salgono in cima alla classifica
Gli attacchi DDoS (Distributed Denial-of-Service) al livello 7 sono aumentati del 94% dall'anno scorso. Le cifre degli attacchi rimangono elevate: in 4 mesi dei 18 osservati (giugno, agosto e dicembre 2023 con maggio 2024) si sono registrati più di 25 miliardi di attacchi DDoS al livello 7 in un solo mese (Figura 1).
Figura 1. Attacchi DDoS di livello 7 al mese
Da gennaio a marzo 2023, si è verificato il minor numero di attacchi al livello 7, con meno di 15 miliardi di attacchi al mese. La traiettoria crescente di questo vettore è pazzesca: a febbraio 2024, si è verificato il minor numero di attacchi mensili per quest'anno, con più di 19 miliardi di attacchi, quindi il minor numero di attacchi mensili osservati finora nel 2024 è comunque superiore rispetto a quello degli attacchi registrati nei primi 4 mesi del 2023.
L'area APJ spazza via i primi in classifica del livello 7
Poiché l'area Asia-Pacifico e Giappone (APJ) ha fatto registrare i ricavi più alti a livello globale per il settore dei videogiochi nel 2023 (85,8 miliardi di dollari) e 179 miliardi di giocatori che rappresentano il 23% della popolazione di quest'area geografica, l'impatto dell'APJ sul settore è enorme.
Quest'anno, l'eccellente area APJ ha aggiunto la maggior parte degli attacchi DDoS al livello 7 alle sue blasonate carriere con 186 miliardi di attacchi negli ultimi 18 mesi (Figura 2).
Figura 2. Attacchi DDoS di livello 7 per area geografica dal 1° gennaio 2023 al 30 giugno 2024
Ore di punta per le richieste di bot
Non possiamo parlare della sicurezza senza menzionare i bot, che sono prevalenti praticamente in tutti i settori. Gli obiettivi dell'autore di una botnet , tuttavia, possono differire notevolmente dal settore dei videogiochi al settore finanziario (o in altri settori) e la funzionalità che cerca il bot può aiutarci a stabilire molti aspetti sull'autore stesso della botnet .
Il periodo dell'anno è un altro fattore da considerare nel comportamento di un criminale. I periodi riportati di seguito sembrano essere particolarmente inclini a favorire un aumento delle richieste di bot.
Gennaio e giugno
Le richieste di bot hanno fatto registrare una crescita del 391% dal 1° trimestre del 2023 allo stesso periodo del 2024. Hanno raggiunto questa cifra presto, infatti il 2024 è iniziato con un numero record di richieste di bot nel settore dei videogiochi: 147 miliardi, in un mese (Figura 3).
Figura 3. Richieste di bot che hanno preso di mira i videogiochi al mese
Giugno ha dato filo da torcere a gennaio (145 miliardi): a giugno 2023 questa cifra si è più che triplicata. Per dare un contesto a queste cifre: Nell'intero periodo osservato, solo nell'area EMEA (Europa, Medio Oriente e Africa), si sono registrati 59 miliardi di richieste di bot (Figura 4).
Figura 4. Richieste di bot per area geografica negli ultimi 18 mesi
Estate e inverno
Poiché il servizio Steam Summer Sale è disponibile a giugno e luglio, in questi due mesi è probabile che continueremo ad osservare un enorme traffico di bot. Questa teoria è supportata da una tendenza simile osservata nei mesi di dicembre 2023 e gennaio 2024 in occasione della Steam Winter Sale. Questa teoria è anche supportata dal fatto che la maggior parte delle richieste di bot (845 miliardi, per la precisione) si sono originate dal Nord America.
Questi due periodi (giugno-luglio e dicembre-gennaio) tendono a mostrare un aumento nell'attività online durante i picchi di vendita, il che li rende allettanti per i criminali. I giocatori stessi, come anche le società di videogiochi, sentono particolarmente di essere sotto assedio digitale in questi periodi.
Attacchi alle soluzioni WAF (Web Application Firewall)
Gli attacchi web contro i videogiochi sono cresciuti del 94% dal 1° trimestre del 2023 allo stesso periodo del 2024. L'incremento più stabile si è osservato nelle soluzioniWAF(Web Application Firewall). Dopo il drastico calo di maggio 2023, abbiamo potuto osservare una tendenza al rialzo alquanto consistente ogni mese. Giugno 2024 è attualmente in cima alla classifica con 1 miliardo (Figura 5).
Figura 5. Attacchi WAF contro il settore dei videogiochi al mese
A maggio e giugno 2024, abbiamo osservato aumenti da capogiro rispetto all'anno scorso, pari, rispettivamente, al 451% e al 504% . Prevediamo che queste cifre continuino a crescere visto l'aumento dell'utilizzo di applicazioni e API.
Analisi dettagliata degli attacchi web tradizionali
Esaminando in dettaglio queste cifre e guardando solo ai nostri attacchi web tradizionali, tra cui SQLi (Structured Query Language injection), CMDi (Command injection), LFI (Local File Injection), XSS (Cross-Site Scripting), RFI (Remote File Inclusion) e SSRF (Server-Side Request Forgery), notiamo che gli attacchi SQLi sono stati la minaccia web maggiore per il settore dei videogiochi nel periodo osservato, facendo registrare oltre 700 milioni di attacchi (Figura 6). Non si tratta, tuttavia, di un fenomeno esclusivo per le società di videogiochi: gli attacchi SQLi si portano in cima alla classifica anche per i giocatori.
Figura 6. Attacchi web tradizionali per tipo di gioco
Gli attacchi LFI sono aumentati costantemente nei vari settori negli ultimi anni, causando altri attacchi web (come gli attacchi XSS) e, in alcuni casi, l'esecuzione di codice remoto. Sicuramente si tratta di un fenomeno che gli editori di videogiochi devono considerare.
Gli attacchi SQLi non solo sono in cima alla classifica, ma sono anche gli attacchi più sporadici per la natura dei giochi. La Figura 7 mostra una suddivisione mensile delle cifre riportate nella Figura 6 e la traiettoria degli attacchi SQLi vi potrebbe far venire il mal di mare come un giocatore che non sta mai fermo.
Figura 7. Attacchi web tradizionali contro i videogiochi al mese
Nel 1° trimestre del 2023 si è osservato un aumento nella pubblicazione di giochi come conseguenza dell'epidemia di COVID-19. Il continuo spostamento delle date di pubblicazione dei giochi a seguito della pandemia ha aumentato la domanda di questi titoli, il che probabilmente ha contribuito a far aumentare notevolmente il numero di attacchi SQLi sferrati in quel periodo. La natura sporadica degli attacchi SQLi potrebbe anche dimostrare le differenze degli obiettivi dei criminali.
Il Nord America registra un aumento di attacchi web
È difficile comprendere la differenza tra 1 milione e 1 miliardo di attacchi, figurarsi tra 332 milioni e almeno 9 miliardi: questo è il divario complessivo che si è osservato tra il numero di attacchi web nell'EMEA e nell'APJ rispetto al Nord America tra il 1° gennaio 2023 e il 30 giugno 2024 (Figura 8).
Figura 8. Attacchi web per area geografica tra il 1° gennaio 2023 e il 30 giugno 2024
Diamo a Cesare quel che è di Cesare
Il gaming e altri generi apprezzati dagli appassionati di videogiochi spesso ispirano le innovazioni reali sia in piccolo che in grande. Dai cosplay alle macchine autopilotate, gli articoli di lusso e gli stili di vita del regno digitale sono balzati nelle nostre vite grazie alla comunità dei giocatori.
Più digitali sono le nostre vite, più queste competenze di gioco sono destinate a migliorare, influendo positivamente sulle nostre carriere lavorative. I videogiochi richiedono un livello di curiosità e una capacità di problem-solving che può sicuramente aiutare nella vita professionale. Le aziende e le università se ne stanno rendendo conto e stanno prendendo le adeguate misure di conseguenza.