Утечка данных Nintendo of America в TinyPulse в 2026 году

Nintendo of America признала наличие проблемы с безопасностью, связанной с TinyPulse, сервисом для опросов о рабочем опыте сотрудников и сбора обратной связи. Компания сообщила, что данные из среды стороннего поставщика были украдены и что она работает с поставщиком над устранением проблемы. Это подтверждение означает, что речь идёт о реальном инциденте доступа к данным, а не о записи, основанной лишь на заявлении злоумышленника.

Подтверждённый тип информации, содержание внутренних опросов. По словам Nintendo, оно касалось небольшой части сотрудников, а большая часть материалов была собрана несколько лет назад.

TinyPulse, платформа для оценки вовлечённости сотрудников, сбора анонимной обратной связи, проведения опросов и оценки корпоративной культуры, входящая в состав WebMD Health Services. Nintendo прямо заявила, что инцидент произошёл в этом внешнем сервисе, а не в её корпоративной или игровой инфраструктуре. Поэтому эту запись не следует трактовать как сообщение о компрометации клиентских аккаунтов Nintendo.

Разграничение со сторонним поставщиком важно для понимания ответственности и технического масштаба инцидента. Данные Nintendo находились в среде поставщика, однако инцидент имел отдельные последствия для сотрудников Nintendo of America. На момент публикации сообщений WebMD Health Services не представила подробного технического заявления, поэтому способ проникновения и влияние на других клиентов TinyPulse оставались неизвестными.

Единственный тип данных, подтверждённый компанией, содержание внутренних опросов сотрудников. Эта формулировка может включать тексты обратной связи, ответы на вопросы или контекст опросов, но Nintendo не опубликовала перечень конкретных полей. LeakData не относит имена, адреса электронной почты, банковские выписки, налоговые формы, идентификаторы сотрудников или отчёты к подтверждённым категориям.

Формулировка «небольшая часть сотрудников» не указывает конкретного числа. Общая численность персонала Nintendo, количество пользователей TinyPulse и заявленный злоумышленником размер файла не позволяют определить число уникальных пострадавших. Организация не опубликовала поддающееся проверке общее число затронутых людей или записей. Отсутствие этих сведений не означает, что инцидент не имел последствий: это означает, что публичные источники не позволяют установить достоверное общее количество.

Группа, называющая себя Shadowbyt3$, заявила, что украла почти один гигабайт данных, потребовала два миллиона долларов и получила полные имена, адреса электронной почты, банковские выписки, формы W-9, идентификаторы сотрудников, планы развития и отчёты. BleepingComputer прямо указало, что не скачивало материалы, которые якобы попали в утечку, и не смогло проверить их подлинность.

Nintendo не подтвердила эти конкретные поля и ограничила своё заявление содержанием внутренних опросов. Заявление на сайте вымогателей нельзя считать окончательным перечнем данных без подтверждения со стороны компании или независимой проверки данных с подтверждёнными результатами.

Nintendo подчеркнула, что её системы не были скомпрометированы, и сообщила, что доступа к персональным данным клиентов или финансовым данным не было. Подтверждённого воздействия на информацию Nintendo Account, игровые аккаунты, платёжные реквизиты, данные консолей или записи службы поддержки клиентов нет. В связи с этим инцидентом клиентам не рекомендовали предпринимать какие-либо действия с аккаунтами.

Заявление о том, что финансовые данные не были затронуты, противоречит утверждению злоумышленников о банковских выписках и формах W-9. LeakData отдаёт приоритет подтверждению компании и не представляет непроверенное заявление злоумышленников как факт. Nintendo использует формулировку «финансовые данные» в контексте клиентских данных, поэтому эта запись не распространяет её на все возможные поля опросов сотрудников как безусловное утверждение.

Nintendo сообщила, что работает с поставщиком сервиса над устранением проблемы. Публичные заявления не раскрывают, как был прекращён доступ, менялись ли пароли или ключи, получали ли отдельные сотрудники уведомления и были ли уведомлены регулирующие органы. Масштаб инцидента можно уточнить, если будет опубликован итоговый технический отчёт или отчёт регулирующего органа.

Подтверждённый вывод состоит в том, что через TinyPulse было украдено преимущественно старое содержание внутренних опросов небольшой части сотрудников Nintendo of America, тогда как системы Nintendo, а также персональные и финансовые данные клиентов не были затронуты. Число сотрудников, точный перечень полей, дата первоначального доступа и технический способ проникновения остаются нераскрытыми. Заявления злоумышленников о личных документах и требовании выкупа в размере двух миллионов долларов не включены в поля с подтверждённой информацией.