Twitch: Eine Server-Fehlkonfiguration gab den Quellcode und die Auszahlungen an Creator preis

Am 6. Oktober 2021 veröffentlichte ein anonymer Nutzer einen Torrent von rund 128 GB auf 4chan: „das Ganze“ von Twitch, einschließlich Quellcode aus fast 6.000 internen Git-Repositories, Pläne für einen Steam-Konkurrenten mit dem Codenamen „Vapor“, Mobile- und Desktop-Clients sowie Auszahlungsunterlagen für fast 2,4 Millionen Streamer seit August 2019. Der Veröffentlicher nannte es „Teil eins“ einer größeren Veröffentlichung.

Twitch bestätigte die Sicherheitsverletzung innerhalb eines Tages. Das Unternehmen führte das Eindringen auf einen Server-Konfigurationsfehler zurück, den ein böswilliger Dritter ausgenutzt habe, erklärte, es habe keine Hinweise darauf gefunden, dass Anmeldedaten oder Kreditkartendaten entwendet wurden, und setzte vorsorglich alle Stream-Keys auf der Plattform zurück. Die Auszahlungsdaten waren jedoch authentisch – Nachrichtenmedien erstellten daraus Ranglisten der Top-Verdiener der Plattform, angeführt von Critical Role mit 9,6 Millionen Dollar und xQc mit 8,5 Millionen Dollar pro Jahr, und die Zahlen kehrten Twitchs eigene Ökonomie für alle sichtbar von innen nach außen.

Der Leak fiel mitten in eine Revolte der Creator. Monate zuvor hatten Streamer den Boykott #ADayOffTwitch aus Protest gegen die 50/50-Aufteilung der Abonnements und die schwache Moderation der Plattform veranstaltet. Nun waren der Code, die Roadmap und die Gehaltsdaten des Unternehmens öffentlich, und seine rund 9,6 Millionen Dollar pro Jahr einbringenden Bestseller standen neben einem langen Schwanz, der einen Bruchteil davon verdiente – ein Porträt, das Twitch niemals freiwillig veröffentlicht hätte.

Quellcode von ~6.000 internen Repositories offengelegt; Auszahlungen an 2,4 Millionen Streamer veröffentlicht; alle Stream-Keys zurückgesetzt; Gehaltsunterschiede der Top-Verdiener öffentlich gemacht.

Änderungen an der Serverkonfiguration wurden nicht durch dieselbe Prüfdisziplin abgesichert wie Code-Deployments, sodass eine einzige fehlerhafte Einstellung Produktionsdatenspeicher offenlegte.

Quellcode, unveröffentlichte Produktpläne und Auszahlungsunterlagen der Creator lagen hinter derselben fehlkonfigurierten Tür – keine Segmentierung zwischen den Kronjuwelen.

Die Auszahlungsunterlagen waren das schädlichste Asset: Das Unternehmen hatte Forderungen nach einer anderen Umsatzaufteilung im Stillen bekämpft, und der Leak veröffentlichte seine eigene Verhandlungsposition.

Ein fehlkonfigurierter Server ist kein kleiner Fehler, wenn Codebasis und die Gehaltsdaten der Nutzer davon abhängen. Quellcode, Secrets und Auszahlungsunterlagen brauchen dieselbe Absicherung wie Logins.

Twitch setzte plattformweit die Stream-Keys zurück und forderte Creator auf, wachsam gegenüber Phishing-Wellen zu sein, die sich als das Unternehmen ausgaben. Die veröffentlichte Gehaltstabelle floss direkt in den laufenden Streit um die Umsatzaufteilung ein, und im September 2022 kündigte Twitch-Präsident Dan Clancy verbesserte Bedingungen für Abonnement-Einnahmen für Top-Streamer an – ein Zugeständnis, zu dem die Nachwirkungen des Leaks beitrugen. Für Amazon verwandelte die Offenlegung von fast 6.000 internen Repositories eine routinemäßige Konfigurationsprüfung in einen mehrjährigen Sicherheitsumbau der Plattform, die das Unternehmen 2014 für fast 1 Milliarde Dollar gekauft hatte.