Twitch：サーバー設定の誤りがソースコードとクリエイターへの支払報酬を流出させた

2021年10月6日、匿名ユーザーが約128GBのトレントを4chanに投稿した。内容はTwitchの「全体」で、約6,000の社内Gitリポジトリのソースコード、コードネーム「Vapor」と呼ばれるSteam対抗サービスの計画、モバイルおよびデスクトップのクライアント、そして2019年8月以来ほぼ240万人のストリーマーを対象とする支払報酬の記録が含まれていた。投稿者はこれを、より大規模な公開の「パート1」と呼んだ。

Twitchは1日以内に侵害を確認した。同社は侵入を、悪意ある第三者に悪用されたサーバー設定の誤りに起因するとし、ログイン認証情報やクレジットカード情報が取得された形跡は見つからなかったと述べ、予防措置としてプラットフォーム上のすべてのストリームキーをリセットした。しかし支払報酬データは本物だった。報道機関はこれをもとにプラットフォームの高額稼得者をランキングし、Critical Roleが年間960万ドル、xQcが年間850万ドルを先頭に、その数字はTwitch自身の経済構造を誰の目にも明らかにした。

この流出は、クリエイターの反乱の最中に起きた。数か月前、ストリーマーたちはプラットフォームのサブスクリプション収入の50/50分配と弱いモデレーションに抗議して#ADayOffTwitchボイコットを実施していた。今や同社のコード、ロードマップ、報酬が公開され、年間約960万ドルを稼ぐトップ層の隣には、そのごく一部しか稼げないロングテールが並んだ。Twitchが自ら進んで公表することは決してなかったであろう姿だった。

約6,000の社内リポジトリのソースコードが露出し、240万人のストリーマーへの支払報酬が公開され、すべてのストリームキーがリセットされ、高額稼得者間の報酬格差が公になった。

サーバー設定の変更は、コードのデプロイと同じレビュー規律で管理されていなかったため、1つの設定ミスが本番データストアを露出させた。

ソースコード、未発表の製品計画、クリエイターの支払報酬記録が同じ設定ミスの扉の背後に置かれ、最重要資産の間にセグメンテーションがなかった。

支払報酬記録が最も損害の大きい資産だった。同社は収益分配の要求と非公開で戦っており、流出は同社自身の交渉上の立場を公表してしまった。

コードベースとユーザーの報酬がそれに依存しているなら、設定ミスのあるサーバーは小さなバグではない。ソースコード、機密情報、支払報酬記録には、ログイン情報と同じ強化が必要だ。

Twitchはプラットフォーム全体でストリームキーをリセットし、クリエイターに同社を装うフィッシングの波に警戒するよう呼びかけた。公開された報酬表は進行中の収益分配闘争に直結し、2022年9月、Twitch社長のDan Clancyはトップストリーマー向けにサブスクリプション収益条件の改善を発表した。これは流出の余波が後押しした譲歩だった。Amazonにとって、約6,000の社内リポジトリの露出は、日常的な設定レビューを、2014年に約10億ドルで買収したプラットフォームの複数年にわたるセキュリティ再構築へと変えた。