Twitch: un error de configuración de un servidor filtró su código fuente y los pagos a los creadores

El 6 de octubre de 2021, un usuario anónimo publicó en 4chan un torrent de unos 128 GB: «la totalidad» de Twitch, incluido el código fuente de casi 6.000 repositorios internos de Git, los planes de un competidor de Steam con el nombre en clave «Vapor», los clientes móvil y de escritorio, y los registros de pagos de casi 2,4 millones de streamers desde agosto de 2019. El autor lo calificó como «la primera parte» de una publicación mayor.

Twitch confirmó la brecha en menos de un día. La empresa atribuyó la intrusión a un error de configuración de un servidor que un tercero malicioso había explotado, afirmó que no encontró indicios de que se hubieran sustraído credenciales de acceso ni datos de tarjetas de crédito, y restableció todas las claves de stream de la plataforma como medida de precaución. Pero los datos de pagos eran auténticos: los medios de comunicación clasificaron a partir de ellos a los que más ganaban en la plataforma, empezando por Critical Role con 9,6 millones de dólares y xQc con 8,5 millones al año, y las cifras dejaron a la vista de todos la economía interna de Twitch.

La filtración se produjo en plena revuelta de los creadores. Meses antes, los streamers habían protagonizado el boicot #ADayOffTwitch por el reparto de suscripciones al 50/50 y la débil moderación de la plataforma. Ahora el código, la hoja de ruta y la nómina de la empresa eran públicos, y sus grandes éxitos, que ingresaban unos 9,6 millones de dólares al año, quedaban junto a una larga cola que ganaba una fracción de esa cifra: un retrato que Twitch nunca habría elegido publicar.

Se expuso el código fuente de unos 6.000 repositorios internos; se publicaron los pagos a 2,4 millones de streamers; se restablecieron todas las claves de stream; las diferencias de ingresos entre los que más ganaban se hicieron públicas.

Los cambios de configuración de los servidores no estaban sujetos a la misma disciplina de revisión que los despliegues de código, por lo que un solo ajuste erróneo dejó expuestos almacenes de datos de producción.

El código fuente, los planes de productos no lanzados y los registros de pagos a los creadores estaban detrás de la misma puerta mal configurada: no había segmentación entre las joyas de la corona.

Los registros de pagos fueron el activo más dañino: la empresa había combatido en privado las exigencias sobre el reparto de ingresos, y la filtración publicó su propia posición negociadora.

Un servidor mal configurado no es un error menor cuando de él dependen tu base de código y la nómina de tus usuarios. El código fuente, los secretos y los registros de pagos necesitan el mismo endurecimiento que los inicios de sesión.

Twitch restableció las claves de stream en toda la plataforma y advirtió a los creadores que estuvieran alerta ante oleadas de phishing que suplantaban a la empresa. La tabla de pagos publicada alimentó directamente la disputa en curso sobre el reparto de ingresos, y en septiembre de 2022 el presidente de Twitch, Dan Clancy, anunció mejores condiciones de ingresos por suscripción para los streamers más destacados, una concesión que la resaca de la filtración contribuyó a forzar. Para Amazon, la exposición de casi 6.000 repositorios internos convirtió una revisión rutinaria de configuración en una reconstrucción de seguridad de varios años de la plataforma que había comprado por casi 1.000 millones de dólares en 2014.