劉波的一夜:被網路攻擊的中小開發者們

晚上9點

劉波(化名)已經第無數次猶豫該不該給錢了。

勒索郵件就在他面前的螢幕上,看著很客氣。郵件是這麼寫的:“您好,我們是ACCN,正對遊戲伺服器進行攻擊。請確認反饋給你們負責人,解除流量攻擊請聯絡我們。”之後是對方留下的QQ號。

駭客一般選擇使用QQ聯絡遊戲開發者。圖為遊戲《通感紀元》的開發者收到的ACCN的好友申請,《通感紀元》也曾被駭客攻擊

要的錢不多,2萬塊。郵件裡寫,只要交了錢,他們就會“停止對貴公司旗下所有產品的攻擊,包括以後發行的產品也在內”。劉波知道,這就是對方開出的價碼,花錢換遊戲一輩子安全。支付方式還挺全面,“支援支付寶、微信支付,也可以刷信用卡”。

但劉波根本不信。他覺得這就像個笑話。要把希望寄託在一個勒索者身上嗎?別扯淡了。先攻擊遊戲,然後找你要錢,告訴你只要給錢就收手,以後絕對不會再來——劉波知道,這種招數在人類歷史上曾不斷髮生。土匪搶走了大戶人家的家眷,然後留下字條,索要贖金。交了贖金的,第二天被搶走的人就會被禮送回來;不交的,大概是先送一個手指?然後是一支胳膊?真可恨,現在他的遊戲變成了人質。那些民間故事是怎麼說的來著?故事裡好像總是寫一些守信用的強盜,放他×的屁,你指望強盜守信用?劉波已經想不起那些故事的具體細節了。而且細節並不重要,他沒時間了。現在遊戲登入伺服器仍然癱瘓,花了大價錢吸引來的玩家沒法進遊戲,論壇裡罵聲一片。

這已經是第三波攻擊了。第一波是上午10點,遊戲剛開服,攻擊就來了。最初是DDoS攻擊,幾十個GB的流量打過來,伺服器就趴下了。什麼叫DDoS攻擊?簡單地說,就是控制大量的計算機向遊戲伺服器提交資料,過量流量湧入,伺服器就癱瘓了。就好比你開了家餐館,一共10張桌子,能坐40個人,駭客直接搖了200個大漢到你店裡進進出出,那這生意是不是就黃了?

到底交不交錢呢?劉波曾經好多次動過這個念頭。有很多次,他對自己說,答應了吧,萬一真的像他們說的那樣守信用呢……萬一呢?團隊已經工作了12小時,雲服務商的技術專家也在交流群裡,但看起來一點兒用都沒有……玩家在不斷流失,沒人能進得來。這個遊戲算是完了,劉波想。在開服的時候遇到這種事兒,這個遊戲算是完蛋了。他想過自己的遊戲遭遇過各種問題,功能設計不成功、題材不吸量、玩家不買賬、拿不到版號……這些問題他都趟過來了。20個兄弟幹了十幾個月,沒想到最後在這兒被人掐了脖子。

人還是進不來,負責論壇的小王一開始還給玩家解釋,現在也蔫兒了。同樣的話說了幾百遍,自己也覺得有心無力了吧?劉波想要讓小王繼續說,在論壇上說,在TapTap上說,在微博上說,在玩家群裡說,都解釋,但是他也知道沒什麼用。況且小王還等著自己做決定呢。是給錢嗎?還是不給?

不給錢的話,就在論壇上發個宣告。《弈劍行》就是這麼幹的,《弈劍行》也遇到了這樣的事兒,製作人沒給錢,在TapTap上發了個公告,劉波記得公告是這麼寫的:“我們於2021年8月6日開服,遭到了來自駭客的攻擊,戰鬥伺服器由於無法使用高防,目前已癱瘓。寧為玉碎,不為瓦全!”

《弈劍行》的停服公告一石激起千層浪

要麼也寫一個公告算了?不給錢,絕對不能給錢,給了錢就相當於服軟了,服軟了之後別人就能放過你嗎?不可能。不給錢,直接魚死網破。但是魚死網破的結果就好到哪兒去了嗎?

劉波認識《弈劍行》的製作人宋九辯。《弈劍行》上線之前,TapTap預約量接近30萬,開發組還沒高興半天,遊戲剛開服,攻擊就跟著來了。最開始是登入伺服器,也是DDoS攻擊,TapTap那邊成立了對接組,為登入伺服器升級了高階防禦服務。這算是第一波。結果第二天凌晨3點半,駭客對遊戲的對戰伺服器進行攻擊,對戰伺服器直接癱瘓。這時候,勒索郵件才送到。

跟自己一樣,劉波想。《弈劍行》的遭遇和他的遊戲差不多。這幫駭客專挑遊戲剛上線的時候下手,他們知道遊戲就是這個時候最關鍵,開發者也就在這個時候最緊張,也最有可能答應他們的條件。怎麼能相信他們?他們沒法攻破那些大公司和大遊戲,就專找這種小開發組下手。

《弈劍行》最後沒給錢。《弈劍行》的對戰伺服器沒法接入高階防禦系統,沒任何辦法。遊戲上線不到一天之後宣佈了停服。自己的遊戲要不要停服呢?劉波從來沒料到,自己的遊戲會走到這一步。

晚上9點

劉波從來沒覺得頭頂的燈光這麼刺眼,慘白慘白的。外面全黑了,空調開著,但是他還是一身汗。要麼還是給錢吧。劉波想,就2萬塊錢,換成比特幣直接打過去,至少今天能挺過去,明天的事情明天再說。萬一呢?萬一給了錢就能換平安呢?

駭客勒索了這麼多開發組,其中肯定有給錢的。劉波非常肯定這一點。圈子裡都流傳有兩三家開發商給了錢,但給了錢的人肯定是不敢說的,一旦說了,來自行業內的壓力就會讓他們吃不了兜著走。

微信群還在閃,“駭客應對小組”的群名後面的訊息數在不斷增加,雲服務的技術專家正在和自己的技術商量對抗細節。幾十分鐘前,他們說駭客的手段又升級了,要是在上午,剛被攻擊的時候,劉波還會大吃一驚,會仔細問問到底怎麼了,但現在劉波甚至懶得知道細節。他不著急了,著急沒用,著急只會把自己急死。

要麼給錢算了!劉波想讓自己下決心,給錢就行了,至少今天可以過去,至少玩家可以進遊戲——雖然現在已經沒有多少玩家還在進遊戲了。現在他們可能已經去玩別的遊戲了吧?劉波恨恨地想。

玩家管什麼呢?玩傢什麼都不管,玩家看了宣傳來玩遊戲,進不去就刪遊戲罵街,你能跟他們說什麼呢?承諾給禮物?承諾返還充值?承諾每個人都送福利?算了吧,哪些遊戲沒有福利?走了就是走了,走了的玩家就不會回來,這筆推廣費用是打了水漂了。一個遊戲的生命週期裡最重要的就是今天,今天完了。

該怪自己沒有一開始買高階防禦服務嗎?劉波不知道。他不是不知道“高階防禦服務”,當時選伺服器的時候,伺服器提供商就給他一個列表,上面有一長串兒“增值服務”。當然,伺服器提供商都會贈送“初級防護服務”,但那玩意兒能有什麼用呢?當時劉波就這麼覺得,現在他更清楚那些初級服務沒用了。

但買高階服務也不是個簡單的事兒,服務商開的價碼是5萬,5萬塊錢,雖然不是拿不出來,但也真的肉疼。更何況誰能保證攻擊一定會發生?如果攻擊沒發生,這筆錢是不是就打了水漂了?劉波知道自己這麼想不對,不能把遊戲寄託在機率上,但是他的團隊也真的沒錢了。劉波自己2年沒拿錢,主美、主策就拿1萬塊錢一個月,這就是生活成本價,他們隨便去哪個公司,隨隨便便年薪就得三四十萬。大家誰都沒走,就是等著遊戲成功上線——5萬塊,5萬塊很少嗎?而且最逗的是,現在勒索者只要2萬塊,怎麼感覺跟服務商搶生意似的?這招是誰教他們的?

高防服務每月可能至少要花費2萬元人民幣(價格來自阿里雲)

這錢不能給。劉波掐滅了剛點燃的一支菸,好像下定了決心,錢是次要的,這口氣他忍不下去。小開發者夠苦的了,遊戲開發的路上九死一生,業界一打噴嚏,小開發團隊就死掉一批,現在怎麼連這種玩意兒都來打自己一巴掌了?更何況給了就能保證沒事兒嗎?萬一十幾個這種駭客團隊排著隊到這兒薅羊毛呢?

但不給錢,自己怎麼辦呢?劉波很清楚地知道自己現在就是在拖。團隊已經連續幹了差不多20個小時了,就這麼抗下去?直到對方知難而退?這事兒知行合一工作室的《迷霧之夏》遇到過,但劉波不覺得自己能有這種好運氣。

那是去年9月25號的事兒,9月25號,《迷霧之夏》手機版正式上線,到了30號,公司部分員工已經提前請假回家過國慶去了,結果上午10點攻擊就來了。仍然是DDoS攻擊,據說攻擊峰值大概是50GB,仍然是大量玩家沒法進遊戲。

但這幫駭客最後自己犯傻了。劉波聽說,勒索者找到了遊戲的玩家QQ群,然後把擔任群管理員的玩家當成了遊戲製作組成員,估計是直接和管理員提出了價碼。結果玩家才不慣著,直接把來勒索的人痛罵一頓,然後直接踢了。踢了還不算,玩家還找到開發組,要求他們“抗爭到底,不要妥協,絕不給駭客一分錢”。大家莫名其妙就同仇敵愾起來,之前罵遊戲的也不罵了,打差評的直接修改評價。開發組也就真沒妥協,升級高階防禦,然後跟攻擊者攻防了一天多,最後算是防住了,攻擊者撤退,遊戲正常執行。

ACCN的駭客被《迷霧之夏》的玩家調戲了一番

《迷霧之夏》算是運氣好的,雖然仍然遭受了損失——在被推薦的時候直接無法登入,這幾乎是一個遊戲能遇到的最倒黴的事兒,但結果算是不幸中的萬幸。自己能有這麼好的運氣嗎?劉波說不準。他已經夠倒黴的了,怎麼還能奢望類似“玩家理解自己”這種好事兒發生?不太可能的。他看過TapTap上面的帖子,希望駭客多攻擊遊戲,好逼著開發者多發點補償的大有人在。劉波都不知道,自己到時候要發多少補償才能讓大傢伙滿意?

現在損失已經有了,唯一的問題就是損失大還是損失小。損失小還行,損失大的話怎麼辦呢?漢家松鼠的遊戲《漢家江湖》,就因為網路攻擊至少損失了幾十萬——去年2月受到攻擊時,遊戲都已經上線3年了。當時受到第一次攻擊之後,《漢家江湖》立刻換了登入IP,結果還是被識破了,攻擊照舊。

《漢家江湖》遭受攻擊時的公告尚且還能自我調侃一番

現在,劉波不知道損失到底能有多大——如果自己的遊戲也損失幾十萬,劉波不敢想,自己能不能承受得了。

凌晨1點

真夠倒黴的,劉波想。這事兒他之前就聽說過,但是也沒想過會落到自己頭上,隨便怎麼說吧,他自嘲地笑了一下,說自己短視也好,太想碰運氣也好,不是真正遇到了,誰又忍心掏這筆錢呢?

而且這錢本來也不該掏啊。劉波覺得有點火大,他把自己的事兒在一個群裡說了,那個群裡的人有不少都是做遊戲的,有些人說他就應該直接交錢,要麼就提前升級高階防禦。奇了怪了,劉波想,這怪我嗎?怎麼受害者有害論輪到自己頭上了?我走在大街上被人捅了,還要怪我沒穿防彈衣嗎?這是在伊拉克嗎?

劉波知道自己絕對不是個例,在那些拿到推薦的、受關注的中小遊戲開發團隊的遊戲裡,把受過勒索的分一撥,沒受過的分一撥,還說不準哪撥人更多呢。就劉波知道的,至少有超過20家制作組被這麼搞過,實際上遇到的只會更多。

大部分人沒付錢,付錢的劉波就知道2個,但也只是聽說,沒有人承認自己交了錢。至於勒索者是誰,劉波聽說,當前最活躍的就是這次找到他們的這夥人。他們自稱“ACCN”,平時保持沉默,直到攻擊讓對方徹底癱瘓、沒有還手之力的時候,才會有一封署名為“ACCN”的郵件或QQ資訊發到開發者的面前。沒人知道他們在哪兒,之前數次攻擊流量來源都在中國臺灣,所以有人猜測ACCN是來自中國臺灣的組織。

還挺像回事兒。劉波想。誰知道他們是不是中國臺灣的組織?或許是吧,大家都這麼說。不過他知道這麼幹的組織不止一個,而且說實在的,DDoS攻擊沒有什麼技術難度,現在攻擊都分工化了,有賣“肉雞”的,有賣工具的,只要你敢幹,哪怕只有初中學歷,自己啃上幾天相關的文章,也能搞起幾次攻擊。

可是這到底算怎麼回事兒呢?劉波覺得有點荒誕。他們做遊戲,要時刻注意遊戲裡不能出現違背精神文明的內容,要有防沉迷,要有未成年人忠告,如果有家長投訴,說自己孩子拿自己手機充了錢,二話不說就要退款。但是自己遊戲上線的時候被勒索了,明目張膽,光天化日。全天下沒有一個人能幫自己,這算怎麼回事兒呢?

他不是沒想過報案,他得報案,但他也知道,報案也就是備案而已,警察的確也沒辦法,劉波也知道,源頭被隱藏在幾個跳來跳去的IP後面,可能還是境外伺服器,的確很難辦——但就沒辦法了?怎麼別人都能沒辦法?做遊戲的就必須得有辦法啊?

劉波又點起一支菸。

要麼躺平算了,不給錢,也不掙扎了,愛怎麼著怎麼著吧。劉波想,駭客發現自己不給錢,說不定就去找下一個目標了,畢竟買“肉雞”也需要錢啊。這麼幹的人也不是沒有,Veewo Games的《超級幻影貓2》就是這麼幹的。今年3月,又是ACCN,在QQ上聯絡開發組,說要攻擊伺服器,給錢就不攻擊。製作組說要報警,攻擊者說你隨便報,我們經常幹,報警也沒用。

他們報警了,但是攻擊還是發生了。這次攻擊的是付費驗證伺服器,動靜很大,使用者在蘋果裝置上付費,蘋果賬戶顯示已經扣款,遊戲裡卻沒到賬,結果開發組只能手動給所有人退款。然後他們也發了個公告,裡面寫:“駭客大大,我們很窮,請放過我們吧!”

《超級幻影貓2》的運營者用輕鬆的口吻寫下了公告

他們是不是真的窮,劉波不知道,不過他知道,做這種遊戲的製作組肯定不可能和大廠相比。沒有錢,也就沒辦法。最後他們什麼都沒幹,既沒給攻擊者錢,也沒給服務商錢,就這麼耗著吧。《超級幻影貓2》是個已經上線了三四年的老遊戲,這會兒無論是付費贖身,還是付費升級高階防禦系統,都沒必要。劉波相信,他們肯定是綜合考慮了這款遊戲的收入和生命週期才做出這個決定的。

哪怕過一個月呢?劉波想,哪怕過一個月呢,自己就能更好地做出判斷了,是破財免災,還是硬扛到底,哪怕過一個月呢?哪怕兩個星期呢?為什麼偏偏是今天?但他也知道就是今天,攻擊的人就盯著今天呢。

有誰能幫助自己嗎?也算有,至少那個下午成立的反攻擊群裡就有不少人。遊戲發行商的技術也在群裡,一想到這個,劉波就慶幸自己簽了個比較大的發行商。TapTap的反攻擊小組也在群裡,《弈劍行》出事的時候,就是TapTap負責對接,幫他們免費升級了高防服務,撐住了第一波攻擊。劉波還聽說,等到《弈劍行》回頭要重新上線的時候,TapTap依然會給他們提供高防服務。

劉波終於等來了好訊息。發行商說,這事兒你不用管了,我們來負責解決。劉波鬆了一口氣,暗自捏了一把冷汗:要是自己沒簽這個發行商,或許遊戲就這麼交待在這兒了。但是遊戲伺服器現在還“死”著呢,劉波明白,自己還不能休息。

凌晨1點

看了看自己的口袋,劉波才發現自己兜裡只剩一根菸了。他想了想,還是把煙插了回去。他不想再抽菸了。劉波越想越覺得有一種莫名的煩躁,這次的事兒什麼時候會解決呢?能嗎?也許吧。但今天是完蛋了。未來呢?難道自己以後每上線一個遊戲,都要來這麼一出?ACCN是不是隨時正在尋找目標呢?不怕賊偷,就怕賊惦記,只有千日做賊,哪兒有千日防賊的呢?劉波想起了被開膛破肚後持續抽取膽汁的熊——他感覺自己現在就是那隻熊,駭客就等著一次又一次地從他身上拿走點什麼。

辦法也不是沒有,今年6月,心動與TapTap、巨人、莉莉絲、米哈遊、鷹角6家企業聯合成立了一個“反網路黑灰產聯盟”。劉波知道,這個聯盟就是幫助開發者解決這類問題的。這次的攻擊防禦中,TapTap的技術小組也的確出了不少力,但DDoS攻擊一直是全球網際網路行業難以根治的頑疾。劉波知道,損失想要追回,基本上是不可能了。ACCN到現在還沒抓住,現在已有的證據已經交給了司法機關,但是DDoS溯源沒有那麼容易。

反網路黑灰產聯盟於6月正式成立

技術專家跟他說了不少辦法。他可以在上線前隱藏真實IP,提前和雲服務商保持溝通等等。反網路黑灰產聯盟還告訴劉波,現在中小型開發者主要是缺乏事前網路安全防護意識,在遊戲上線前就應該把網路安全問題納入必要工作中。

怪我嘍?劉波想。他不知道到底做到哪一步才算是有“網路安全防護意識”。高防服務嗎?可以,如果早知道今天,他或許會試試隱藏真實IP,也肯定會給自己的遊戲提前買高防服務——但這還是需要多花錢。劉波一想到錢,又開始頭痛起來,就在現在,遊戲每一分每一秒都在損失錢。想到這,他也沒心情想下一款遊戲該怎麼樣了。

天已經亮了,窗外鳥都開始叫起來了。手機響起來了,發行商的人告訴劉波,他們暫時把問題解決了,遊戲伺服器已經掛在了高防服務後面,遊戲能登入了。發行商說,具體的損失和費用白天再算吧,你先去去休息吧。

劉波經歷了人生中最漫長的一個晚上。劉波不知道其他同行是怎麼熬過去的,也不知道下次自己是不是還要再經歷一個這樣的晚上。

劉波決定去睡一覺。

頂部