El lanzador para PC del juego Goddess of Victory: NIKKE, operado por Level Infinite y SHIFT UP, sufrió un ciberataque a su cadena de suministro que permitió la distribución de malware a través de actualizaciones rutinarias. El incidente, que coincidió con el evento del cuarto aniversario del juego, expuso a millones de jugadores a la instalación de software malicioso, el compromiso remoto de sus sistemas y el robo de credenciales. La gravedad del caso radica en que los atacantes aprovecharon la confianza depositada en el mecanismo de actualización para infiltrar archivos .js maliciosos que actuaron como un caballo de Troya.
¿Cómo ocurrió el ataque?
De acuerdo con el análisis del incidente, los archivos maliciosos fueron detectados inicialmente en la infraestructura de Level Infinite el 27 de septiembre de 2026, pero no fue hasta entre el 31 de octubre y el 3 de noviembre de 2026 cuando los usuarios comenzaron a reportar instalaciones no autorizadas de malware. Durante ese lapso, los archivos se distribuyeron a través de actualizaciones normales del lanzador, lo que permitió a los atacantes ejecutar código arbitrario al activar la aplicación.
El malware, diseñado como un recolector de credenciales en múltiples etapas, escaneaba directorios del sistema en busca de patrones de archivos predefinidos para extraer datos sensibles como credenciales de navegadores, claves SSH y claves de API de herramientas de desarrollo de inteligencia artificial. Posteriormente, enviaba la información a un servidor de comando y control operado por los atacantes. Además, el payload permitía a los atacantes tomar control remoto total de los dispositivos infectados, ejecutar comandos del sistema, capturar pantallas y unir los equipos comprometidos a una infraestructura tipo botnet.
Una ventana de 34 días sin detección
El caso evidencia una falla sistémica en los controles de seguridad de Level Infinite y SHIFT UP. La ausencia de verificación de firmas de código y de comprobaciones de integridad en tiempo real permitió que los archivos maliciosos permanecieran indetectables durante 34 días. Esta demora, similar a un defecto de fabricación que escapa al control de calidad, facilitó la distribución masiva de malware y el compromiso de dispositivos de usuarios.
La sincronización del ataque con el cuarto aniversario de NIKKE no fue casual: los atacantes aprovecharon el pico de actividad de los jugadores para maximizar el alcance y ocultar las operaciones maliciosas entre el tráfico legítimo. Esta táctica, que explota el volumen y el caos, aceleró la propagación y amplificó el robo de credenciales.
Reacción de los usuarios y de la desarrolladora
Entre el 31 de octubre y el 3 de noviembre, los usuarios reportaron una ola de instalaciones no autorizadas de malware mientras el lanzador estaba activo. La falta de comunicación inmediata por parte de SHIFT UP y Level Infinite generó frustración y desconfianza. Aproximadamente 12 horas después de los primeros reportes, SHIFT UP reconoció la brecha y lanzó un parche de emergencia para eliminar los archivos maliciosos. Sin embargo, la respuesta fue criticada por su opacidad y por no restaurar la confianza de los usuarios, quienes exigieron mayor transparencia y medidas de seguridad más robustas.
Implicaciones para la industria de los videojuegos
Este incidente no es un caso aislado, sino un síntoma de vulnerabilidades más amplias en la cadena de suministro de software de la industria del gaming. La falta de auditorías rigurosas, de verificación de firmas de código y de monitoreo en tiempo real en los pipelines de distribución expone a los usuarios a riesgos similares en otros lanzadores soportados por Level Infinite. Si no se abordan, estas debilidades podrían habilitar ataques en cascada a través de ecosistemas interconectados.
Las consecuencias potenciales incluyen la propagación masiva de malware, el compromiso sistémico de dispositivos y una erosión irreversible de la confianza en las plataformas de juego. La industria debe reconocer que la ciberseguridad ya no es un complemento, sino un pilar fundamental para la confianza y la resiliencia operativa.
Pasos para mitigar el riesgo y proteger a los usuarios
Para evitar futuros incidentes, los desarrolladores deben implementar medidas técnicas y de comunicación basadas en evidencia. A continuación, se presentan las recomendaciones clave:
- Firmas de código obligatorias: Todos los archivos de actualización deben estar firmados digitalmente y verificados mediante hash para garantizar su origen e integridad.
- Monitoreo en tiempo real: Implementar sistemas que detecten anomalías en el comportamiento de los archivos, como conexiones de red no autorizadas o ejecución de código sospechoso.
- Auditorías de seguridad periódicas: Revisar los pipelines de compilación y distribución para identificar accesos no autorizados y aislar entornos de desarrollo.
- Comunicación transparente: Notificar a los usuarios sobre brechas de seguridad en cuestión de horas, con guías claras para mitigar riesgos, como cuarentena de dispositivos y restablecimiento de credenciales.
- Aislamiento de aplicaciones: Ejecutar lanzadores de juegos en máquinas virtuales o perfiles dedicados para limitar el movimiento lateral del malware.
- Monitoreo de procesos: Utilizar herramientas de detección de comportamiento para identificar y terminar procesos inesperados (por ejemplo, cmd.exe o PowerShell) o actividad de red anómala.
- Rotación de credenciales: Cambiar inmediatamente contraseñas de navegadores, claves SSH y claves de API después de una brecha para cortar el acceso de los atacantes.
- Auditorías industriales: Realizar evaluaciones conjuntas de prácticas de seguridad en todos los lanzadores soportados por Level Infinite y compartir indicadores de compromiso (IoCs) para una defensa colectiva.
Además, se deben considerar casos extremos como la rotación trimestral de certificados de firma y el almacenamiento de claves privadas en módulos de seguridad de hardware (HSM) para prevenir el uso indebido de certificados comprometidos. Asimismo, es crucial parchear regularmente los hipervisores y monitorear anomalías a nivel de hipervisor para detectar posibles escapes de máquinas virtuales.
Conclusión: un llamado a la acción
El ataque al lanzador de NIKKE en PC es una señal de alarma sistémica. La industria del gaming debe adoptar un enfoque de seguridad proactivo y coordinado, que incluya verificaciones de integridad rigurosas, monitoreo continuo y comunicación transparente. Los usuarios, por su parte, deben tomar medidas de aislamiento y monitoreo para minimizar el daño. Solo así se podrá transformar un ecosistema vulnerable en un entorno resiliente y fortificado, capaz de resistir las amenazas cibernéticas en evolución.