SHADOWBYT3$ की धमकी: निनटेंडो के कर्मचारियों का डेटा लीक करने की धमकी, लेकिन सच्चाई कुछ और ही निकली

12-13 जून, 2026 को, SHADOWBYT3$ नामक एक अल्पज्ञात साइबर अपराधी ने एक चौंकाने वाला दावा किया: उसने निनटेंडो का सिस्टम हैक कर लिया है और 859 MB संवेदनशील कर्मचारी डेटा चुरा लिया है। समूह ने 48 घंटे की अल्टीमेटम देते हुए 2 मिलियन डॉलर (लगभग 16 करोड़ रुपये) की फिरौती मांगी और धमकी दी कि 15 जून तक भुगतान न करने पर सब कुछ सार्वजनिक कर दिया जाएगा । लेकिन डेडलाइन बीत गई। न तो कोई डेटा लीक हुआ, न ही कोई फिरौती दी गई। और करीब एक हफ्ते बाद भी, यह दावा उतना ही अप्रमाणित है जितना शुरुआत में था ।

यह कोई सामान्य डेटा ब्रीच की कहानी नहीं है। यह हमला निनटेंडो के गेम डेवलपमेंट सर्वर, उसके ई-शॉप, या ग्राहकों के अकाउंट पर नहीं हुआ। इसके बजाय, इसने TINYpulse को निशाना बनाया, जो एक थर्ड-पार्टी एचआर एंगेजमेंट प्लेटफॉर्म है जिसका इस्तेमाल निनटेंडो अपने कर्मचारियों के सर्वे और कार्यस्थल की प्रतिक्रिया इकट्ठी करने के लिए करता था । यह अंतर ही पूरे मामले के जोखिम को समझने की असली चाबी है।

SHADOWBYT3$ ने क्या चुराने का दावा किया

समूह ने कहा कि उन्होंने TINYpulse (जो अब WebMD Health Services के स्वामित्व में है) पर एक क्रेडेंशियल से समझौता किया और निनटेंडो के कर्मचारियों से जुड़ा लगभग 859 MB का डेटा निकाल लिया । सबूत के तौर पर, उन्होंने एक Mega.nz फोल्डर का लिंक पोस्ट किया, हालांकि किसी स्वतंत्र सुरक्षा शोधकर्ता ने अभी तक इसकी प्रामाणिकता की पुष्टि नहीं की है ।

2016 से 2026 तक के रिकॉर्ड वाले इस डेटा में कथित तौर पर व्यक्तिगत और वित्तीय जानकारी का एक खतरनाक मिश्रण शामिल है :

• कर्मचारियों के पूरे नाम और कॉर्पोरेट ईमेल पते
• आंतरिक कार्यस्थल सर्वेक्षण और गुमनाम प्रतिक्रिया
• विश्लेषण और कर्मचारी प्रगति रिपोर्ट
• बैंक स्टेटमेंट की PDF फाइलें
• W-9 टैक्स फॉर्म जिनमें सोशल सिक्योरिटी नंबर या नियोक्ता पहचान संख्या होती है

W-9 फॉर्म और बैंक स्टेटमेंट की मौजूदगी विशेष रूप से गंभीर है। अगर यह जानकारी असली हुई, तो इससे निनटेंडो के मौजूदा और पूर्व कर्मचारियों की पहचान की चोरी और वित्तीय धोखाधड़ी हो सकती है, जिन्होंने पूरी गोपनीयता की उम्मीद में TINYpulse सर्वे में अपनी बेबाक राय दी थी ।

हमले का तरीका: निनटेंडो पर सीधा हमला नहीं, बल्कि थर्ड-पार्टी की समस्या

सबसे अहम बात यह है कि यह सेंध कैसे लगी। SHADOWBYT3$ ने यह दावा नहीं किया कि उन्होंने निनटेंडो के आंतरिक नेटवर्क को हैक किया। उन्होंने कहा कि उन्होंने सीधे TINYpulse पर हमला किया । समूह ने एक मंच पर अपनी मंशा भी साफ की, "हमारा लक्ष्य सीधे निनटेंडो पर हमला करना नहीं था, बल्कि कुछ PII (व्यक्तिगत पहचान योग्य जानकारी), परिचालन योजनाएं और कर्मचारियों की सभी निजी चैट चुराना था" ।

साइबर सुरक्षा विश्लेषकों ने लगातार इसे निनटेंडो के बुनियादी ढांचे पर सीधे हमले के बजाय एक थर्ड-पार्टी समझौता बताया है । खतरा खुफिया मंच Hackmanac ने इस घटना के लिए 5.60 का ESIX स्कोर जारी किया, इसे "मध्यम संभावित प्रभाव" की श्रेणी में रखा - ध्यान देने योग्य, लेकिन सीधे कॉर्पोरेट नेटवर्क ब्रीच की गंभीरता से बहुत दूर ।

यह अलगाव मायने रखता है। साल 2020 के कुख्यात "निनटेंडो गीगालीक" के विपरीत, जिसमें सोर्स कोड, कंसोल प्रोटोटाइप और आंतरिक विकास उपकरण उजागर हुए थे, इस घटना में कोई गेम कोड या ग्राहक-सामना करने वाली प्रणाली शामिल नहीं है । खिलाड़ियों को अपने अकाउंट, भुगतान विधियों या व्यक्तिगत गेमिंग डेटा के बारे में चिंता करने का कोई कारण नहीं है।

SHADOWBYT3$ कौन है?

इस दावे के पीछे का समूह कोई बड़ा रैनसमवेयर गिरोह नहीं है। रैनसमवेयर ट्रैकिंग डेटाबेस बताते हैं कि SHADOWBYT3$ पहली बार अक्टूबर 2025 के आसपास सामने आया । वे एक एक्सटॉर्शन-एज़-अ-सर्विस (EaaS) समूह के रूप में काम करते हैं, टेलीग्राम और टॉक्स जैसे एन्क्रिप्टेड चैनलों के माध्यम से संवाद करते हैं, और 2026 के मध्य तक उनके शिकार बहुत ही कम संख्या में हैं ।

समूह का सीमित ट्रैक रिकॉर्ड और शुरुआती चरण की प्रोफ़ाइल दो संभावनाएं दर्शाती है। या तो उन्होंने एक वैध लेकिन सीमित डेटा चोरी को अंजाम दिया और अपनी लीक की धमकी को अमल में लाने की क्षमता नहीं रखते थे, या फिर उन्होंने निनटेंडो की ब्रांड पहचान का फायदा उठाकर जल्दी पैसा बनाने के लिए पूरा दावा झूठा बनाया । डेडलाइन के बाद भी किसी भी डेटा के लीक न होने से दोनों ही संभावनाएं बरकरार हैं।

निनटेंडो और TINYpulse की ओर से खामोशी

न तो निनटेंडो और न ही TINYpulse (या इसकी मूल कंपनी WebMD Health Services) ने इस ब्रीच को स्वीकार करने या नकारने वाला कोई सार्वजनिक बयान जारी किया है । यह चुप्पी असामान्य नहीं है। बड़ी कंपनियां अक्सर अप्रमाणित उगाही के दावों पर टिप्पणी करने से बचती हैं, खासकर जब हमले का तरीका कोई थर्ड-पार्टी वेंडर हो, क्योंकि एक सीमित ब्रीच की पुष्टि भी नियामक अधिसूचना आवश्यकताओं और प्रतिष्ठा को नुकसान पहुंचा सकती है।

कुछ रिपोर्टों में कहा गया है कि नमूना डेटा की जांच करने वाले साइबर सुरक्षा शोधकर्ताओं को "कम से कम कुछ डेटा के प्रामाणिक होने के संकेत" मिले हैं , लेकिन आधिकारिक पुष्टि या सत्यापित थर्ड-पार्टी ऑडिट के बिना, यह अटकलें ही हैं।

निनटेंडो के कर्मचारियों को अब क्या करना चाहिए

हालांकि दावा अप्रमाणित है, कथित चुराए गए डेटा की प्रकृति सावधानी बरतने की मांग करती है। बैंक स्टेटमेंट और W-9 फॉर्म सिर्फ शर्मिंदगी का कारण नहीं हैं - ये वित्तीय बारूद हैं। निनटेंडो के मौजूदा और पूर्व कर्मचारी, जिनका कार्यकाल 2016-2026 की अवधि में आता है, उन्हें कई एहतियाती कदम उठाने चाहिए:

• बैंक और क्रेडिट कार्ड स्टेटमेंट पर किसी भी असामान्य गतिविधि पर नज़र रखें
• प्रमुख क्रेडिट ब्यूरो में धोखाधड़ी की चेतावनी या क्रेडिट फ्रीज लगाएं
• निनटेंडो में अपनी भूमिका के बारे में अंदरूनी जानकारी का उपयोग करके फ़िशिंग के प्रयासों से सावधान रहें
• निनटेंडो के एचआर या कानूनी विभाग से आधिकारिक संचार पर नज़र रखें, जो अगर आंतरिक रूप से ब्रीच की पुष्टि हो जाती है तो मार्गदर्शन प्रदान करेगा

निनटेंडो की चुप्पी रणनीतिक हो सकती है, लेकिन इससे कर्मचारी अंधेरे में रह जाते हैं कि उनका निजी डेटा भूमिगत मंचों पर घूम रहा है या नहीं।

बड़ी तस्वीर: थर्ड-पार्टी एचआर टूल एक बढ़ता हुआ खतरा

यह घटना, चाहे असली हो या नकली, एक लगातार सुरक्षा कमजोरी को उजागर करती है जो सभी आकार की कंपनियों को प्रभावित करती है। TINYpulse जैसे कर्मचारी सहभागिता प्लेटफॉर्म वर्षों की संवेदनशील प्रतिक्रिया, व्यक्तिगत पहचानकर्ता और अक्सर वित्तीय दस्तावेज रखते हैं - फिर भी उन्हें शायद ही कभी कंपनी के मुख्य बुनियादी ढांचे जितनी सुरक्षा जांच मिलती है।

उगाही करने वाले समूहों ने इन थर्ड-पार्टी एचआर और सहयोग उपकरणों को तेजी से निशाना बनाना शुरू किया है क्योंकि ये बड़ी टेक कंपनियों की कड़ी सुरक्षा के बाहर बैठे होते हैं, जबकि मूल्यवान निजी डेटा रखते हैं । भले ही SHADOWBYT3$ का दावा पूरी तरह से झूठ साबित हो, लेकिन इसके द्वारा बताया गया हमले का तरीका पूरी तरह से यथार्थवादी है और इसे अन्य संगठनों के खिलाफ सत्यापित ब्रीच में इस्तेमाल किया जा चुका है।

फिलहाल, निनटेंडो का यह उगाही का दावा एक असहज अधर में लटका हुआ है: इसे बेबुनियाद कहकर खारिज करने के लिए बहुत विस्तृत, लेकिन इसमें शामिल किसी भी पक्ष से सत्यापित सबूत या सार्वजनिक स्वीकृति का पूरी तरह से अभाव। सबसे संभावित परिणाम यह है कि यह अप्रमाणित ब्रीच दावों की लंबी सूची में शामिल हो जाएगा - लेकिन उन कर्मचारियों के लिए जिनके W-9 फॉर्म और बैंक स्टेटमेंट शायद किसी Mega.nz सर्वर पर पड़े हों, यह अनिश्चितता अपने आप में एक बड़ा नुकसान है।