خرق بيانات Nintendo of America عبر TinyPulse في 2026

أقرت Nintendo of America بوجود مشكلة أمنية تتعلق بخدمة TinyPulse، التي تُستخدم لإجراء استطلاعات حول تجربة الموظفين وآرائهم. وقالت الشركة إن بيانات سُرقت من بيئة الطرف الثالث، وإنها تعمل مع مزود الخدمة لمعالجة المشكلة. ويجعل هذا التأكيد الحادثة واقعة وصول فعلية إلى البيانات، لا مجرد إدراج يستند إلى ادعاء مهاجم وحده.

نوع المعلومات الذي جرى التحقق منه هو محتوى استطلاعات داخلية. وقالت Nintendo إن هذا المحتوى يخص مجموعة صغيرة من الموظفين، وإن معظمه يعود إلى عدة سنوات مضت.

TinyPulse منصة لتفاعل الموظفين، وجمع الملاحظات مجهولة الهوية، وإجراء الاستطلاعات، وتقييم ثقافة بيئة العمل، وهي جزء من WebMD Health Services. وصرحت Nintendo بوضوح بأن الحادثة نشأت في هذه الخدمة الخارجية، لا في البنية التحتية للشركة أو للألعاب. ولذلك ينبغي ألا يُفسَّر هذا السجل على أنه خرق لحسابات عملاء Nintendo.

للفصل بين بيئة الشركة وبيئة الطرف الثالث أهمية في تحديد المسؤولية والنطاق التقني. فقد كانت بيانات Nintendo موجودة في بيئة مزود الخدمة، لكن الحادثة أحدثت أثرًا منفصلًا يخص موظفي Nintendo of America. ولم تكن WebMD Health Services قد قدمت بيانًا تقنيًا مفصلًا عند نشر التقارير، مما أبقى طريقة الدخول ومدى تأثر أي عملاء آخرين لخدمة TinyPulse غير معروفين.

نوع البيانات الوحيد الذي أكدته الشركة هو محتوى استطلاعات داخلية للموظفين. وقد تشمل هذه العبارة نصوص الملاحظات أو إجابات الاستطلاعات أو سياقها، لكن Nintendo لم تنشر حصرًا للبيانات على مستوى الحقول. ولا تعدّ LeakData الأسماء أو عناوين البريد الإلكتروني أو كشوف الحسابات المصرفية أو النماذج الضريبية أو معرّفات الموظفين أو التقارير فئات جرى التحقق منها.

لا تحدد عبارة «مجموعة صغيرة من الموظفين» عددًا إجماليًا. ولا يمكن استخدام إجمالي القوى العاملة لدى Nintendo، أو عدد مستخدمي TinyPulse، أو حجم الملفات الذي ادعاه المهاجم، لاستخلاص عدد الأشخاص المتأثرين دون تكرار. ولم تنشر المؤسسة إجماليًا قابلًا للتحقق لعدد الأشخاص أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادثة لم يكن لها أثر، بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا.

ادعت مجموعة تطلق على نفسها اسم Shadowbyt3$ أنها سرقت ما يقارب غيغابايت واحد، وطالبت بمليوني دولار، وحصلت على أسماء كاملة وعناوين بريد إلكتروني وكشوف حسابات مصرفية ونماذج W-9 ومعرّفات موظفين وخطط تقدم وتقارير. وصرح BleepingComputer بوضوح بأنه لم ينزّل المواد التي يُزعم تسريبها، ولم يتمكن من التحقق من صحتها.

لم تؤكد Nintendo تلك الحقول التفصيلية، وقصرت بيانها على محتوى الاستطلاعات الداخلية. ولا يُعدّ ادعاء منشور على موقع ابتزاز حصرًا قاطعًا للبيانات، ما لم تؤكده الشركة أو تؤكده مراجعة مستقلة موثقة للبيانات.

شددت Nintendo على أن أنظمتها لم تتعرض للاختراق، وقالت إنه لم يُجرَ الوصول إلى أي بيانات شخصية للعملاء أو بيانات مالية. ولا يوجد أثر مؤكد على معلومات Nintendo Account أو حسابات الألعاب أو تفاصيل الدفع أو بيانات أجهزة الألعاب أو سجلات دعم العملاء. ولم يُنصح العملاء باتخاذ إجراءات بشأن حساباتهم بسبب هذه الحادثة.

يتعارض استثناء البيانات المالية مع ادعاء الجهة المهاجمة بشأن كشوف الحسابات المصرفية ونماذج W-9. وتعطي LeakData الأولوية لما أكدته الشركة، ولا تعرض ادعاء الجهة المهاجمة غير المتحقق منه بوصفه حقيقة. وقد وردت عبارة «البيانات المالية» في بيان Nintendo ضمن سياق بيانات العملاء، ولذلك لا يوسع هذا السجل معناها ليجعلها نفيًا مطلقًا أشمل يتعلق بكل حقل محتمل في استطلاعات الموظفين.

قالت Nintendo إنها تعمل مع مزود الخدمة لمعالجة المشكلة. ولا توضح البيانات العامة كيفية إنهاء الوصول، أو ما إذا كانت كلمات المرور أو المفاتيح قد استُبدلت، أو ما إذا كان الموظفون قد تلقوا إشعارات فردية، أو ما إذا كانت الجهات التنظيمية قد أُبلغت. ويمكن تحديث النطاق إذا نُشر تقرير تقني أو تنظيمي نهائي.

الخلاصة التي جرى التحقق منها هي أن محتوى استطلاعات داخلية، يعود معظمه إلى سنوات مضت ويخص مجموعة صغيرة من موظفي Nintendo of America، سُرق عبر TinyPulse، بينما لم تتأثر أنظمة Nintendo ولا البيانات الشخصية والمالية للعملاء. ولا يزال عدد الموظفين والحقول الدقيقة وتاريخ الوصول الأولي والطريقة التقنية غير معلنة، ولا تُدرج ادعاءات الجهة المهاجمة بشأن الوثائق الشخصية والفدية البالغة مليوني دولار ضمن الحقول المؤكدة.