Nintendo of America ha chiarito la portata del presunto furto di dati rivendicato dal gruppo hacker ShadowByt3$, confermando che il caso riguarda un servizio esterno usato per i sondaggi interni ai dipendenti e non una compromissione diretta delle infrastrutture aziendali.
La compagnia ha spiegato di essere a conoscenza di un problema che coinvolge TinyPulse, piattaforma di terze parti impiegata per raccogliere feedback e valutazioni interne. Nella dichiarazione ufficiale, Nintendo precisa che i sistemi di Nintendo non sono stati compromessi e che non risultano accessi a dati dei clienti o informazioni finanziarie degli utenti.
Il materiale coinvolto, secondo la società, è limitato a contenuti dei sondaggi interni relativi a una piccola parte dei dipendenti. Nintendo aggiunge inoltre che la maggior parte delle informazioni risalirebbe a diversi anni fa, elemento che ridimensiona almeno in parte la natura della rivendicazione iniziale.
Il caso era emerso dopo che ShadowByt3$ aveva dichiarato di aver ottenuto dati collegati a personale Nintendo tramite sistemi TinyPulse. La rivendicazione parlava di circa 859 MB di materiale, con riferimenti a nomi, indirizzi email, sondaggi, report analitici, feedback sul posto di lavoro e documenti interni.
Nel messaggio pubblicato dal gruppo veniva inoltre indicata una richiesta di riscatto da 2 milioni di dollari, con una scadenza fissata al 15 giugno dopo la presunta sottrazione avvenuta il 13 giugno. Nintendo, però, ha circoscritto il perimetro dell'accaduto al fornitore esterno e ha escluso l'accesso a dati personali dei clienti.
Il coinvolgimento di un servizio di terze parti è un dettaglio centrale: attaccare fornitori e piattaforme HR esterne consente ai gruppi di estorsione di colpire informazioni aziendali senza necessariamente violare i sistemi principali dell'azienda bersaglio. In questo caso, la risposta ufficiale sposta quindi l'attenzione sulla catena dei servizi usati internamente.
Nintendo ha infine dichiarato di prendere sul serio il feedback dei propri dipendenti e di essere al lavoro con il provider per affrontare il problema. Per il pubblico, il punto più rilevante resta la conferma che non risultano coinvolti dati finanziari o profili dei consumatori legati ai servizi e alle piattaforme della compagnia.
