Twitch: uma configuração incorreta de servidor vazou seu código-fonte e os pagamentos aos criadores

Em 6 de outubro de 2021, um usuário anônimo publicou no 4chan um torrent de aproximadamente 128 GB: "a totalidade" da Twitch, incluindo código-fonte de quase 6.000 repositórios Git internos, planos de um concorrente da Steam com o codinome "Vapor", clientes móveis e de desktop, e registros de pagamentos referentes a quase 2,4 milhões de streamers desde agosto de 2019. O autor da postagem chamou aquilo de "parte um" de um lançamento maior.

A Twitch confirmou a invasão em menos de um dia. A empresa atribuiu a intrusão a um erro de configuração de servidor que um terceiro mal-intencionado havia explorado, afirmou não ter encontrado indícios de que credenciais de login ou dados de cartão de crédito tenham sido obtidos e redefiniu todas as stream keys da plataforma por precaução. Mas os dados de pagamento eram autênticos — veículos de imprensa classificaram a partir deles os maiores ganhadores da plataforma, começando por Critical Role, com US$ 9,6 milhões, e xQc, com US$ 8,5 milhões por ano, e os números expuseram a economia interna da própria Twitch para todo mundo ver.

O vazamento ocorreu no meio de uma revolta dos criadores. Meses antes, os streamers haviam organizado o boicote #ADayOffTwitch contra a divisão de assinaturas de 50/50 da plataforma e a moderação fraca. Agora, o código, o roteiro de produtos e a folha de pagamentos da empresa estavam públicos, e seus campeões de bilheteria, que faturavam cerca de US$ 9,6 milhões por ano, apareciam ao lado de uma cauda longa que ganhava uma fração disso — um retrato que a Twitch jamais teria escolhido publicar.

Código-fonte de cerca de 6.000 repositórios internos exposto; pagamentos a 2,4 milhões de streamers publicados; todas as stream keys redefinidas; as diferenças de remuneração entre os maiores ganhadores tornaram-se públicas.

As mudanças de configuração de servidor não passavam pela mesma disciplina de revisão das implantações de código, de modo que uma única configuração errada expôs armazenamentos de dados de produção.

Código-fonte, planos de produtos não lançados e registros de pagamento a criadores ficavam atrás da mesma porta mal configurada — sem segmentação entre as joias da coroa.

Os registros de pagamento foram o ativo mais prejudicial: a empresa havia combatido demandas de divisão de receita em âmbito privado, e o vazamento publicou sua própria posição de negociação.

Um servidor mal configurado não é um bug pequeno quando seu código-fonte e a folha de pagamentos dos seus usuários dependem dele. Código-fonte, segredos e registros de pagamento precisam do mesmo endurecimento de segurança que os logins.

A Twitch redefiniu as stream keys em toda a plataforma e orientou os criadores a ficarem atentos a ondas de phishing se passando pela empresa. A tabela de pagamentos publicada alimentou diretamente a disputa em curso sobre a divisão de receita, e em setembro de 2022 o presidente da Twitch, Dan Clancy, anunciou melhores termos de receita de assinatura para os principais streamers — uma concessão que o desdobramento do vazamento ajudou a forçar. Para a Amazon, a exposição de quase 6.000 repositórios internos transformou uma revisão de configuração de rotina em uma reconstrução de segurança de vários anos da plataforma que ela havia comprado por quase US$ 1 bilhão em 2014.