Rockstar Games ha sufrido diversas intrusiones a lo largo de varios años, resultando en el robo de código fuente propietario, 78,6 millones de registros comerciales y una versión jugable de desarrollo de GTA VI. Los accesos se lograron mediante el robo de credenciales de empleados, solicitudes de autenticación repetidas y tokens de acceso comprometidos.

Rockstar Games se ha enfrentado a diversas intrusiones que involucran código fuente propietario, 78,6 millones de registros comerciales y lo que los investigadores describen como una versión de desarrollo jugable de GTA VI.

Los incidentes se extendieron durante varios años, en lugar de ser un único ataque que lo robara todo a la vez. Los puntos de entrada reportados incluyen credenciales robadas de empleados, solicitudes de autenticación repetitivas y tokens de acceso comprometidos pertenecientes a un proveedor de servicios externo.

Junto a estas brechas, supuestas descargas filtradas del juego han creado otra ruta para que los criminales infecten los ordenadores de los jugadores.

Tras revisar los incidentes, los investigadores de Lares observaron malware disfrazado de una versión de GTA VI de 113 GB, con archivos rellenos que ocultaban una carga útil maliciosa de 50 KB. Ataques relacionados de descargas falsas de juegos ilustran cómo el interés por juegos no lanzados puede exponerte a infecciones.

Los ataques revelan debilidades en la forma en que se protegen las cuentas de confianza, los servicios conectados y los sistemas de desarrollo, dijo Lares en un informe compartido con Cyber Security News (CSN).

Su análisis del 1 de septiembre vincula los incidentes con el abuso de identidad y una separación inadecuada de los entornos sensibles.

Versión jugable de GTA VI

En septiembre de 2022, Lapsus$ obtuvo aproximadamente 90 vídeos de desarrollo y código fuente propietario, según Lares.

El informe describe a un atacante utilizando credenciales corporativas legítimas y enviando repetidamente solicitudes de autenticación hasta que un empleado aprobó una, permitiendo el acceso.

Una vez dentro, el atacante buscó en Slack y Atlassian Confluence credenciales, claves de aplicación y detalles de servidores internos que los desarrolladores habían compartido en texto plano.

Estas plataformas de colaboración se convirtieron en trampolines hacia recursos más sensibles en lugar de permanecer como herramientas de comunicación aisladas. El caso resalta por qué controlar el acceso es tan importante como asegurar el software.

Informes anteriores sobre el reclutamiento de personas internas de la empresa por parte de Lapsus documentaron intentos de obtener acceso de empleados, aunque Lares atribuye la intrusión de Rockstar descrita aquí al abuso de credenciales y solicitudes de aprobación repetitivas.

Un incidente separado en abril de 2026 involucró a ShinyHunters y el robo de 78,6 millones de registros. Lares afirma que los atacantes primero comprometieron al proveedor de análisis Anodot, obtuvieron sus tokens OAuth de larga duración y los usaron para acceder al almacén de datos Snowflake de Rockstar.

Estos tokens funcionaron como pases de acceso reutilizables. Debido a que la posesión era suficiente para la autenticación y no estaban vinculados a la infraestructura del proveedor, los atacantes pudieron reutilizarlos desde sus propios sistemas sin tener que comprometer primero una cuenta de un empleado de Rockstar.

Los informes sobre el robo de datos analíticos de Rockstar distinguen esos registros de la pérdida anterior del código fuente. El conjunto de datos de abril se refería a análisis comerciales, y la cobertura indicó que no se incluyeron contraseñas de jugadores, información de pago, código fuente ni activos de desarrollo de GTA VI.

Seguridad de la versión

Lares sitúa el incidente de Cyberleek en agosto de 2026, afirmando que los dominios se registraron el 14 de agosto y el material empezó a aparecer el 18 de agosto. Reporta al menos 13 vídeos de gameplay e información de mapeo que cubren el escenario ficticio de Leonida.

Los investigadores describen las imágenes como evidencia de una versión de desarrollo jugable sin terminar. Sin embargo, su explicación deja múltiples posibilidades sobre cómo se ejecutó: saltando los controles de autenticación, compilando localmente el código fuente robado o mediante el acceso a un kit de desarrollo modificado.

Cyberleek también vinculó las revelaciones a compras de criptomonedas que influían en qué material aparecía a continuación, según el informe.

Take-Two Interactive respondió con solicitudes de eliminación por derechos de autor y citaciones judiciales buscando información identificativa de Microsoft, Discord y X sobre quienes distribuyeron el contenido robado.

Lares rechaza los rumores de una brecha separada en Rockstar India, diciendo que la evidencia forense no los sustenta. Esa distinción es importante porque las imágenes filtradas, los análisis robados y las descargas maliciosas representan problemas de seguridad claramente diferentes.

Lares recomienda aislar los entornos de desarrollo previos al lanzamiento y monitorear transferencias salientes inusualmente grandes.

Su umbral de detección propuesto pondría automáticamente en cuarentena las redes de desarrollo cuando las transferencias superen los 50 GB hacia direcciones externas desconocidas, limitando el movimiento de datos mientras los defensores investigan la actividad.

Para las cuentas de empleados, el informe recomienda claves de autenticación de hardware resistentes al phishing en lugar de simples avisos de aprobación.

Para los servicios conectados, pide vincular criptográficamente los tokens a sus clientes autorizados, restringir la duración del acceso y vigilar los patrones de inicio de sesión y consulta de las cuentas de servicio.

Los investigadores también recomiendan monitorear las herramientas de colaboración en busca de descargas excesivas y pruebas de credenciales sospechosas, para luego validar las defensas mediante ejercicios de ataque realistas.

La lección general es verificar el acceso confiable continuamente en lugar de asumir que una cuenta o integración autenticada es automáticamente segura.