Бывший сотрудник студии Jagex, работавший над Old School RuneScape (OSRS), приговорён к трём годам лишения свободы условно с испытательным сроком два года: суд признал его виновным в краже виртуального золота на сумму свыше 400 тысяч долларов и последующей продаже добычи на чёрном рынке. Речь о 32-летнем Эндрю Лейкмане, также известном как Джед Сандерсон, — в игре он работал с 2015 года, а сообществу знаком под ником Mod Jed. К 2018 году в Jagex заметили закономерность: аккаунты восстанавливались при подозрительных обстоятельствах, после чего с них исчезали ценные внутриигровые предметы и золото.
Источник изображения — tomshardware.com
Внутриигровая экономика OSRS во многом повторяет реальную: игроки обмениваются предметами напрямую или выставляют их на Grand Exchange — площадку, работающую по принципу биржи, с ордерами, спросом и котировками, которые меняются день ото дня. Достоверных данных о том, собирали ли игроки OSRS коллекции стоимостью в 100 тысяч долларов и выше, как это происходит в Team Fortress 2, нет, но пропавшие виртуальные предметы всё равно имеют вполне реальную денежную стоимость и бьют по кошельку владельца напрямую.
Изначально в студии сочли происходящее техническим сбоем. Более глубокое расследование заставило заподозрить, что действует кто-то изнутри. Масштабы катастрофы для самой Jagex оказались умеренными — это не история уровня взлома Rainbow Six Siege X, из-за которого Ubisoft пришлось полностью отключать серверы. Но для разработчика инцидент всё равно серьёзный, особенно с учётом того, что взлом устроил собственный сотрудник. Оставить это без реакции значило подорвать доверие игроков — критически важный показатель для проекта, у которого в любой момент времени в среднем более 100 тысяч человек онлайн.
Поэтому студия изменила саму процедуру восстановления аккаунтов, а заодно перенастроила межсетевой экран, никого об этом не предупредив, — и это позволило ИТ-отделу проследить нелегальную активность до Mod Jed. Лейкман отрицал обвинения и утверждал, что его собственный аккаунт взломали, а кражи совершал кто-то посторонний. Jagex всё равно его уволила и передала материалы в полицию. Следователи впоследствии установили, что похищенное золото и другие внутриигровые предметы в итоге были проданы на чёрном рынке более чем за 400 тысяч долларов. На банковских счетах фигуранта также обнаружились 493 тысячи долларов наличными — предположительно, выручка от продажи криптовалюты, хотя связь этой суммы с нелегальными продажами так и не была подтверждена.
Задержали Лейкмана ещё в июле 2019 года, а приговор — три года условно с двухлетним испытательным сроком — вынесли только 3 сентября. Королевский суд Кембриджа дополнительно назначил 150 часов неоплачиваемых работ и 25 дней реабилитационных мероприятий. «Лейкман прекрасно понимал, что поступает неправильно, и сотни тысяч фунтов, полученные им от продажи внутриигровых предметов, ничем не отличаются от любой другой кражи, — заявил детектив-констебль Эндрю Маккин в комментарии полиции Кембриджшира. — То, что вещь виртуальная, не значит, что он не должен ответить по всей строгости закона».
Промежуток между задержанием и приговором — больше шести лет — сам по себе показателен: правоприменение в делах о цифровом имуществе всё ещё движется медленно, а доказательная база собирается тяжело. Показательна и позиция суда по существу: виртуальные предметы, у которых есть устойчивый вторичный рынок, рассматриваются как обычное имущество, а хищение с использованием служебного доступа — как хищение, а не «шалость в игре».
Для игроков практический вывод простой и довольно неприятный: угроза далеко не всегда приходит снаружи. Ни двухфакторная аутентификация, ни уникальный пароль, ни PIN-код банка не спасают, когда доступ к аккаунту получает человек с административными правами на стороне разработчика. Единственное, что реально работает на стороне пользователя, — вести собственный учёт ценного имущества и фиксировать скриншотами состояние инвентаря, чтобы в случае претензии было чем оперировать. А задача разграничивать полномочия сотрудников, логировать каждое восстановление аккаунта и регулярно проверять эти логи целиком лежит на студии — и история Mod Jed отлично показывает, во что обходится её невыполнение.
