Bethesda Data Breach: confermata perdita di dati relativi agli utenti della Power Armor Edition

Bethesda, editore della nota saga di giochi di ruolo Fallout, di cui l’ultimo capitolo online Fallout 76 sembra averla fatta abbastanza grossa, alla luce di quello che possiamo ribattezzare il Bethesda Data Breach.

Introduzione

Questa storia comincia dalla creazione dell’esclusiva Fallout 76 Power Armor Edition, un’edizione di lusso per i primi acquirenti comprendente una riproduzione collezionistica dell’armatura più potente nel gioco, l’Armatura Atomica (iconico simbolo della saga) e diversi altri gadget, tra cui una sacca da trasporto per il loot, o quantomeno per portare con sè console, controller e accessori per una sfrenata sessione di gioco tra amici.

E qui cominciano i guai per Bethesda: una piccola catena di eventi che, come una biglia caduta da un piano inclinato, non poteva che rotolare velocemente verso il Bethesda Data Breach.

Innanzitutto, col 14.11, il Reclamation Day (giorno di lancio del gioco, fatto coincidere dal momento in cui nella storia di Fallout 76, vero e proprio prologo dell’intera saga, i primi Americani dopo una ipotetica e immaginaria Guerra Atomica hanno avuto la possibilità di abbandonare il loro bunker per ricostruire la loro nazione) ha portato una piccola delusione per i fan hardcore della saga, così hardcore da spendere più soldi per comprare l’edizione commemorativa.

Proprio la sacca da viaggio era infatti difforme dal materiale promozionale inviato ad influencer e canali pubblicitari: problemi di costo avevano spinto Bethesda a produrre in serie una sacca in Nylon decisamente più modesta e dall’aspetto più fragile, arrotolata all’interno dell’elmo come un gadget di poco conto.

Si sa come è fatta la Rete: gli acquirenti della Collector’s Edition hanno chiesto di più. Molto di più.

In fretta e furia Bethesda ha organizzato un sistema per le segnazioni: una sezione del loro sito internet dedicata alle segnalazioni di difetti e garanzia per, inviando le ricevute di acquisto, ricevere l’equivalente di 5$ di microtransazioni di gioco.

Se la reazione del pubblico era stata furiosa, a questo punto la rabbia è montata nell’equivalente di uno Tsunami di segnalazioni.

Bethesda così ha compiuto il suo passo falso.

Il Bethesda Data Breach

Dopo aver risposto a chi aveva inoltrato la richiesta di 5$, spesso solo per il gusto di lamentare la sproporzione tra l’assenza di fatto della sacca da trasporto e l’elargizione economica scarna e ridotta di reinoltrare tutto il materiale in una nuova sezione del menù per le lamentele, questa volta creata appositamente, per chiedere una nuova sacca da viaggio.

E qui sono nati i problemi.

Un problema nell’infrastruttura tecnologica, evidentemente messa su in fretta sotto lo schiacciante peso della montante indignazione ha fatto in modo che, per un ristretto periodo di tempo, 45 minuti di mercoledì 5 Dicembre, chiunque si collegasse per depositare la propria richiesta o controllare una richiesta già depositata potesse leggere le richieste di tutti gli altri utenti

In questa finestra, ha ammesso la stessa Bethesda anche sotto il peso del GDPR, l’attuale normativa Privacy che impone anche alle aziende straniere che vendono prodotti al pubblico Europeo di dare compiuta informazione alle autorità garanti entro il limite temporale di 72 ore dalla scoperta della violazione dei dati (il c.d. “Data Breach”) per poi informare compiutamente gli interessati, le parti lese, altresì predisponendo che i dati relativi ad utenti Europei restino in server locati in Europa sotto la giuridsizione del locale garante, che circa 65 ticket assistenza sui 123 depositati al momento erano stati resi visibli a chiunque si collegasse al sito di assistenza in quelle ore.

Ticket comprendenti nomi, cognomi, indirizzi, numeri telefonici e cifre relative alla propria carta di credito (non tutte).

Premia in questo caso la Paranoia: se ad esempio chi ha acquistato mediante PayPal ha “perso” solo una ricevuta col suo nome, l’indirizzo destinatario del pacco e la menzione “Pagato con PayPal”, chi ha usato carte di credito ha scoperto che anonimi conoscono il suo nome, cognome, il tipo di carta usata e, a seconda del commerciante, le ultime quattro cifre della carta di credito, temendo così che un eventuale hacker possa tentare di ricomporre i dati mancanti.

Bethesda nega che ciò porterà ad alcuna conseguenza, ma come tutte le violazioni di dati, anche il Bethesda Data Breach porta a scontento, e lo scontento porta a reazioni, anche legali.

Va infatti ricordato che, quantomeno la normativa Europea, disciplina rigidamente il Data Breach prevedendo onerose sanzioni per chi non avesse ottemperato ai suoi obblighi in modo corretto e non avesse informato gli interessati in modo compiuto dei dati persi, dei rischi patiti e l’indicazione delle contromisure che entrambe le parti, ditta e interessati, dovranno o potranno prendere per difendersi.

È una riedizione in salsa ludica, con la complicazione evidente nata dalla natura “extra Unione Europea” della ditta, del Data Breach relativo a Roussau: anche in quel caso avemmo comunicazioni insufficienti, vaghezza sulla qualità e la quantità dei dati smarriti e nessuna indicazione delle contromisure prese e da prendersi.

Ogni storia è un precedente: il Bethesda Data Breach sarà un precedente di come l’UE intende procedere per la tutela della propria legislazione Privacy, attualmente la più puntuale e difensiva nei confronti dell’utente finale al mondo, nei confronti di una ditta estera?

I dati persi erano su server locati in Europa? Sono state davvero prese tutte le precauzioni del caso? Le comunicazioni date saranno sufficienti? Ci saranno rimborsi per gli acquirenti?

Lo scopriremo solo vivendo.