Участник сообщества NationStates получил доступ к игровому серверу и вызвал утечку данных игроков

Создатели браузерной многопользовательской игры NationStates подтвердили факт утечки персональных данных после инцидента с удалённым выполнением кода (RCE) на основном сервере проекта. Игра, вдохновлённая романом Дженнифер Гоvernment, была временно отключена для расследования и устранения последствий киберинцидента.

Событие произошло вечером 27 января 2026 года, когда один из игроков сообщил о критическом баге в функции Dispatch Search. В попытке проверить уязвимость он вышел за рамки безопасной проверки и смог добиться RCE, получив полный доступ к продакшн-серверу игры.

По словам команды разработчиков, этот пользователь с 2021 года несколько раз сообщал об уязвимостях и даже получил статус «баг-хантер», однако никогда не имел разрешения на доступ к серверам или привилегированные действия. Несмотря на это он скопировал часть кода приложения и пользовательских данных на свою систему. Позже он извинился и заявил, что удалил полученную информацию, но подтвердить это невозможно.

В результате разработчики считают как сервер, так и данные скомпрометированными. Из базы были представлены адреса электронной почты (включая ранее используемые), MD5-хэши паролей, IP-адреса и строки User-Agent браузеров. При этом создатели проекта подчёркивают, что не хранят реальные имена, физические адреса, номера телефонов или данные банковских карт.

После обнаружения взлома сайт был отключён, и командой принято решение полностью пересобрать сервер «с нуля» на новом оборудовании, чтобы исключить дальнейшие риски. Разработчики также приступили к анализу затронутых данных и оценивают срок восстановления работы площадки в два-пять дней.

Событие стало первым подобным инцидентом в истории проекта и подчёркивает риски, связанные с эксплуатацией уязвимостей даже опытными участниками сообщества.