Twitch : une erreur de configuration serveur a exposé son code source et les paiements des créateurs

Le 6 octobre 2021, un utilisateur anonyme a publié un torrent d'environ 128 Go sur 4chan : « l'intégralité » de Twitch, y compris le code source de près de 6 000 dépôts Git internes, les plans d'un concurrent de Steam baptisé « Vapor », les clients mobiles et de bureau, ainsi que les registres de paiements de près de 2,4 millions de streamers depuis août 2019. L'auteur du message l'a présenté comme la « première partie » d'une publication plus vaste.

Twitch a confirmé la violation en moins d'une journée. L'entreprise a attribué l'intrusion à une erreur de configuration serveur exploitée par un tiers malveillant, a déclaré n'avoir trouvé aucun indice que des identifiants de connexion ou des données de carte bancaire aient été dérobés, et a réinitialisé toutes les clés de flux de la plateforme par précaution. Mais les données de paiement étaient authentiques — les médias ont établi à partir de celles-ci le classement des plus gros gagnants de la plateforme, à commencer par Critical Role avec 9,6 millions de dollars et xQc avec 8,5 millions de dollars par an, et ces chiffres ont exposé au grand jour l'économie interne de Twitch.

La fuite est survenue en pleine révolte des créateurs. Quelques mois plus tôt, les streamers avaient organisé le boycott #ADayOffTwitch pour protester contre le partage des abonnements à 50/50 et une modération jugée insuffisante. Désormais, le code, la feuille de route et la grille de rémunération de l'entreprise étaient publics, et ses meilleures ventes à environ 9,6 millions de dollars par an côtoyaient une longue traîne gagnant une fraction de cela — un portrait que Twitch n'aurait jamais choisi de publier.

Le code source d'environ 6 000 dépôts internes a été exposé ; les paiements de 2,4 millions de streamers ont été publiés ; toutes les clés de flux ont été réinitialisées ; les écarts de rémunération entre les plus gros gagnants sont devenus publics.

Les modifications de configuration serveur n'étaient pas soumises à la même discipline de revue que les déploiements de code, si bien qu'un seul mauvais réglage a exposé des magasins de données de production.

Le code source, les plans de produits non annoncés et les registres de paiement des créateurs se trouvaient derrière la même porte mal configurée — sans segmentation entre les actifs les plus précieux.

Les registres de paiement constituaient l'actif le plus dommageable : l'entreprise avait défendu en privé ses exigences sur le partage des revenus, et la fuite a publié sa propre position de négociation.

Un serveur mal configuré n'est pas un petit bug quand votre base de code et la rémunération de vos utilisateurs en dépendent. Le code source, les secrets et les registres de paiement exigent le même durcissement que les identifiants de connexion.

Twitch a réinitialisé les clés de flux sur toute la plateforme et a invité les créateurs à rester vigilants face aux vagues d'hameçonnage usurpant l'identité de l'entreprise. La grille de rémunération publiée est venue alimenter directement le conflit en cours sur le partage des revenus, et en septembre 2022, le président de Twitch, Dan Clancy, a annoncé de meilleures conditions de revenus d'abonnement pour les meilleurs streamers — une concession que les suites de la fuite ont contribué à imposer. Pour Amazon, l'exposition de près de 6 000 dépôts internes a transformé une revue de configuration de routine en une refonte de sécurité pluriannuelle de la plateforme qu'il avait achetée pour près d'un milliard de dollars en 2014.