2026 年 8 月 18 日，网上出现了疑似来自 GTA 6 的片段，同时还有一张据称是游戏完整地图的图片，这些内容被归于一个自称 CyberLeek 的团体。连续四天，片段不断出现，最终达到六段，其中一些包含游戏剧情本身的过场动画。这款游戏尚未发售，官方公布的发售时间是 2026 年 11 月。

这读起来像是一条游戏新闻。但其中的教训与游戏毫无关系：业内最大的工作室之一，巨额的制作预算，多年的心血，而产品却在发布日之前，通过一扇无人看守的门流向了公众。在规模小得多的公司里，发生的正是同样的事情，只是更加悄无声息。

事情的真实经过

  • 素材看起来是真的。记者们依据的信号不是图像分析，而是公司的反应：Rockstar 及其母公司 Take-Two 对这些片段发出了版权删除通知。公司不会要求删除伪造的视频。
  • 升级是逐步的。一开始是普通的游戏画面，随后出现了过场动画，这让观察者得出结论：泄露者手里有一个可玩的版本，而不只是录制好的片段。
  • 动机公开且复杂。该团体向游戏发行商公布了关于数字版发行和实体版的诉求，同时又在片段中推广一种 memecoin，并发起投票，让人们用这种币付费来选择下一次泄露的内容。
  • 公司不知道源头。根据彭博社 Jason Schreier 的报道，管理层已全员动员应对，但尚未查出泄露者，也不打算推迟即将到来的首映或改变营销策略。

从专业角度看，最后一点最为重要：经过数日调查，一家拥有如此资源的公司仍说不出文件从何而来。这并不是什么罕见的弱点。当持有副本的人数超过可追踪的人数时，这就是自然的结果。

对照您的公司：您尚未发布的成果是什么？

您不做游戏，但您手中的一些文件如果今天被公开，会让您损失金钱、一笔交易或信任。在沙特市场最常见的有：

  • 投标文件和报价。开标前的投标文件是公司里最敏感的文件，也是最常在 WhatsApp 上流转的文件。
  • 客户名单及其特殊价格。您给某个大客户的优惠折扣，被另一个客户看到。
  • 发布前的产品或服务。设计、定价、发布日期、已经制作好的营销活动。
  • 员工与工资数据。一个文件就足以让公司内部动荡数月。
  • 预发布环境（staging）中的代码和数据。这是我们审查客户系统时最常发现真正暴露在外的内容。

这些文件实际上是从哪里流出的

人们对泄露的常见印象是入侵：有人突破了防火墙。但在大多数情况下，现实更简单，也更平淡：

  • 访问范围超出需要。一个与定价毫不相关的部门里的人打开了投标文件夹，因为这个文件夹多年来一直对所有人共享。
  • 从未过期的访问权限。承包商或前员工的账号仍然可用，或者您一年前发出的共享链接至今仍能打开文件。
  • 系统之外的副本。下载到个人设备、通过 WhatsApp 转发，或者“只是临时”上传到个人云账号的文件。
  • 暴露的预发布环境。网站或系统的副本放在没有密码的子域名上，有时还被搜索引擎收录，里面有真实数据。
  • 没有身份标识的副本。这正是 Rockstar 无法查明源头的原因：当每份副本都完全相同时，流出的文件无法说明是谁泄露的。

本周要做的五件事

这些都不是需要专项资金的安全项目，而是一些小的管理和技术措施，效果远超成本：

  • 先分类，再保护。列出公司里最敏感的十个文件或文件夹。您无法平均地保护一切，试图这样做最终只会什么都保护不了。资产分类和访问管理是国家网络安全局（NCA）发布的《基本网络安全控制措施》ECC 2-2024 中的基础内容。
  • 审查谁能打开什么。今天就打开敏感文件夹的权限设置，逐个名字查看名单。原则是谁需要，而不是谁可能需要。
  • 为每项访问设定到期日。承包商、供应商和实习生的访问权限应随合作结束自动终止，而不是靠某人事后想起来再做决定。将员工离职与当天关闭账号绑定在一起。
  • 让副本可追溯。在敏感的方案和文件上加上带有接收者姓名的水印，并保留下载日志，记录谁打开过、谁下载过以及时间。这不能阻止泄露，但能把泄露从一个谜团变成来源已知的事件，而且它的存在本身就有威慑作用。
  • 关闭预发布环境。为测试副本设置密码，禁止搜索引擎收录，用虚拟数据代替真实客户记录。仅这一步就能堵住我们最常遇到的漏洞。

第二个教训：第一天的预案

记者们注意到，泄露开始后，Rockstar 有好几天没有在其账号上发布任何内容。从法律角度看，沉默是可以理解的选择，但它通常会把整个叙事权拱手让给对方。

实际上重要的是，在需要之前就对三个问题有书面答案。谁决定升级处理，谁代表公司发言？最初两个小时内的首要技术步骤是什么，也就是切断访问并在日志被覆盖之前将其冻结？以及何时通知主管部门，尤其是当泄露材料中包含客户或员工的个人数据时，这在沙特阿拉伯是一项监管义务，而不是一种沟通上的选择？

善于处理事件的公司，并不是从未遭受打击的公司，而是在平静时期就写好这些答案的公司。

Origami 的观点

我们把这次事件看作对一个观点的印证，这也是我们在几乎每次系统审查中都会提到的：大多数公司的主要风险不是外部入侵，而是一次授予后从未复查的内部权限。高级攻击者很少见；而从 2021 年起就对所有人共享的文件夹几乎随处可见。

因此，当我们为客户构建系统时，权限从零开始，而不是从开放开始：每个角色只能看到其工作所需的内容，每项临时访问都有到期日，每个敏感操作都会在日志中留下痕迹。这不是单独出售的安全附加功能，而是从一开始就构建系统的正确方式。一开始就这样做与事后补救的区别在于：前者只需花费数小时的设计时间，后者付出的代价却无法挽回。

结论

您无法阻止每一次泄露。但只需一周，您就可以弄清哪些是最敏感的材料，缩小能接触它们的人员范围，让每份副本都带有持有者的身份标识，并写好第一天的预案。这四个步骤不需要预算，却能把一家知道谁泄露了文件的公司，与一家在黑暗中摸索的公司区分开来，正如一款耗时数年打造的游戏眼下所经历的那样。

参考来源

  • IGN，2026 年 8 月 18 日至 21 日——对片段和地图的持续报道，其归属于 CyberLeek，数量达到六段，以及与 memecoin 的关联。
  • Metro / GameCentral，2026 年 8 月 19 日——Rockstar 的版权删除行动作为素材真实性的信号，以及泄露团体的诉求。
  • 彭博社（Bloomberg），Jason Schreier，2026 年 8 月 21 日（经 Insider Gaming 转引）——管理层全员动员，泄露者身份未明，没有推迟即将到来的首映的计划。
  • 国家网络安全局（NCA）——《基本网络安全控制措施》ECC 2-2024：资产分类以及身份与访问管理。