各位妮姬国际服的指挥官，请马上检查一下自己的电脑，因为就在前两天《胜利女神：妮姬》这游戏的启动器被黑客给黑了。
有安全研究者扒出来，妮姬发行商Level Infinite官方CDN上的几个JavaScript文件在9月27日被动了手脚，而恶意程序从10月30日开始通过被篡改的文件散布。简单来说就是启动器里混进了不干净的东西，然后玩家的日志里留下一行“k2f_chan”。这行字看起来像某个新角色的代号，实际上是一张“你的电脑被光顾了”的通知单。
黑客的目的是什么呢？根据公开的分析报告，这个木马的目标清单里包括了开发者工具链的凭据、云服务Token、SSH私钥，以及二十多种浏览器钱包扩展的数据……说真的看到这些的时候我的后背已经开始发凉了。
而这件事最好笑也最让人笑不出来的一段，是Nexon的反应。韩国另一家游戏大厂Nexon在事发后直接向全体员工下发通知，电脑里装了妮姬PC启动器的，立刻删掉，并向安全团队报备。
我不是说这个操作不对，站在企业内网安全的角度，它很合理。但画面感实在太强了——前一天还是新老婆，后一天就变成了安全威胁。毫无疑问Shift Up和Level Infinite在这次事件里的位置是受害者，毕竟自家CDN被第三方污染，官方基本算是被打了一闷棍。但Nexon这一删，等于用行动替整个行业投了一张不信任票……
至于之后的事情，比如说官方补偿啥的，虽然这一部分也有很多玩家表示不满，但这次我打算跳过，毕竟在本次事件里我最恶心的还是那个黑客。做这种事的人，大概觉得自己很聪明。不直接攻击玩家，不去硬碰硬地撞哪家公司的内网，而是蹲在供应链的某个节点上，等着官方自己把东西送到玩家手里。
但是玩家做错了什么？官方又做错了什么？这种攻击最恶心的地方在于，它把信任本身做成了武器。玩家信任官方渠道，官方信任自己的CDN，CDN信任第三方——黑客就挑这根链子上最不设防的一环动手，让整条链子上所有的人一起替他的贪婪买单。
我不打算在这里展开讲什么LuaJIT、什么持久化、什么C2伪装成RUM分析服务。玩家不需要成为安全专家才能玩一个游戏。该被质问的从来都不是“你为什么没发现自己被种了木马”，而是那个把木马塞进官方启动器的人，到底凭什么觉得别人的电脑是他可以随便进出的地方。
这件事里玩家是无辜的，官方也是受害者。玩家不该因为正常启动游戏，就被迫学自查日志、删缓存、扫注册表；官方也不该因为第三方环节被污染，就被简化成官方往玩家电脑里塞木马的标题。该被钉在耻辱柱上的，是那个躲在供应链暗处、把所有人的信任当跳板的人。它真的很难看，且下作。
【编辑：手游姬】
