13 TB de arquivos da Steam ficaram em acesso público: builds iniciais de jogos da Valve, Dragon Age: Origins e Batman: Arkham Asylum

Cerca de 13 TB de dados da antiga infraestrutura de servidores da Steam ficaram em acesso público — ficheiros carregados para a plataforma entre 2003 e 2013. Segundo afirmam aqueles que obtiveram acesso ao conjunto, não houve qualquer ataque informático: os dados foram consultados após um pedido a um endpoint publicamente disponível. A julgar pela informação existente, o incidente ocorreu na semana passada; foi noticiado pelo Kotaku.

Na comunidade, a fuga foi apelidada de «Steam2 leak», em referência ao antigo nome da arquitetura de servidores da Steam, substituída em 2013 pelo sistema SteamPipes. A proprietária da plataforma, a Valve, ainda não fez comentários públicos sobre o sucedido.

No dump não estão apenas jogos da Valve

Pelas descrições existentes, o conjunto inclui versões iniciais e capturas de ecrã de projetos da própria Valve: Left 4 Dead 2, Portal 2 e o nunca lançado Half-Life 2: Episode 3. Materiais destes dão uma ideia das fases iniciais de desenvolvimento destes jogos.

O conteúdo do arquivo não se limita aos jogos da dona da plataforma. Segundo é referido, no dump foram encontradas builds beta de Dragon Age: Origins, da BioWare e da EA, bem como de Batman: Arkham Asylum, da Rocksteady e da WB Games — ou seja, materiais de trabalho de editoras terceiras cujos jogos eram distribuídos através da Steam.

Isto levanta questões de segurança para as empresas cujos dados ficaram expostos. Que volume de material sensível de editoras terceiras foi parar à fuga e quais serão as consequências da sua publicação é algo que, para já, não é claro.

Segundo quem encontrou os dados, não houve ataque

As capturas do conteúdo foram publicadas no X por um utilizador com o nome Gabe Follower, que afirma ter confirmado a inexistência de qualquer ataque informático: os materiais foram consultados após um pedido a um endpoint publicamente disponível. Não é especificado de que endpoint se trata exatamente.

Há também outra versão. As fontes ouvidas pela Ars Technica admitem que a fuga não tenha ocorrido do lado da Valve, mas do lado de servidores terceiros onde estavam guardados dados recolhidos em fugas anteriores. Nesse caso, tratar-se-ia do comprometimento de um armazenamento externo de arquivos já recolhidos, e não de um erro de configuração da própria plataforma.

Porque é que a infraestrutura antiga vem ao de cima anos depois

A história parece um sintoma de um problema mais geral e não uma falha isolada. A infraestrutura retirada de serviço há mais de dez anos raramente é apagada por completo: é desligada da produção, mas os dados permanecem em servidores que ninguém audita, porque formalmente já não são necessários. Quanto maior e mais antiga é uma plataforma, mais pontos cegos destes tem, e maior é a probabilidade de um dia surgir um caminho aberto até eles.

O segundo fator é uma comunidade de arqueologia digital que ganhou força. Há anos que os entusiastas analisam e catalogam de forma sistemática os restos de antigos serviços de jogos, e qualquer fragmento acessível de um arquivo destes espalha-se rapidamente em cópias, depois do que já não é possível retirá-lo da rede. Para os estúdios, isso muda a formulação do problema: os materiais internos têm de ser apagados no momento em que o projeto é encerrado, e não quando alguém se lembra deles.

Para artistas, designers, modeladores e programadores, arquivos como estes são valiosos enquanto material de estudo: pelas builds intermédias percebe-se como os níveis, os modelos e as mecânicas mudaram entre iterações. Mas o estatuto legal destes materiais não muda com a sua idade: continuam a ser propriedade intelectual das editoras, e publicar conteúdo cortado, capturas ou assets vindos de uma fuga continua a ser um risco para quem os divulga.

Se a tendência se mantiver, é provável que as editoras passem a ter mais cuidado com a entrega de builds a plataformas terceiras e com os prazos de retenção dos distribuíveis junto dos parceiros, e que as próprias plataformas se preocupem mais com o inventário dos sistemas herdados. A questão prática mais imediata sobre esta fuga é que volume de materiais de editoras terceiras foi nela incluído; por enquanto não há estimativas públicas.

Conseguirá a Valve fechar o endpoint antes de os 13 TB se espalharem pelos espelhos?