Vous jouez à Rainbow Six Siege ? Hé bien félicitations, vous êtes maintenant virtuellement millionnaire ! Enfin... l'étiez, parce que tout ça va être annulé.

Rainbow Six Siege X, le jeu d'Ubisoft victime d'un hack massif

Ce week-end, Ubisoft s'est fait pirater comme des jambons et pas qu'un peu. Des hackers ont réussi à distribuer 2 milliards de R6 Credits à TOUS les joueurs du jeu. Au tarif Ubisoft (15 000 crédits pour 99,99 dollars), ça représente environ 13,33 millions de dollars de monnaie virtuelle offerte gracieusement. Sympa les pirates ^^

Mais attendez, c'est pas tout ! Les attaquants ont également débloqué absolument tous les cosmétiques du jeu pour tout le monde, y compris les skins réservés aux développeurs que personne n'était censé avoir. Et pour couronner le tout, ils se sont amusés avec le système de bannissement du jeu. Résultat, des milliers de joueurs se sont retrouvés bannis puis débannis au hasard, pendant que le fil d'actualité des bans affichait des messages satiriques visant Ubisoft et ses dirigeants.

Les messages de ban détournés par les hackers formaient des phrases trop "golri", arf arf... ( Source )

Du coup, le streamer KingGeorge a immédiatement lancé l'alerte : "Ne vous connectez pas au jeu, ne dépensez pas de Renown, ne dépensez pas de Rainbow Credits". Sage conseil, parce que par le passé, Ubisoft a déjà banni des joueurs pour leurs propres erreurs. Pas cool.

Peu après le début du bordel, Ubisoft a donc coupé les serveurs et la marketplace pour tenter de contenir les dégâts. Les serveurs de Rainbow Six Siege sont toujours hors ligne au moment où j'écris ces lignes, sans ETA de retour. La bonne nouvelle, c'est qu'Ubisoft a confirmé qu'aucun joueur ne sera banni pour avoir dépensé les crédits reçus pendant l'incident, et qu'un rollback de toutes les transactions depuis 11h UTC est en cours.

Maintenant, le truc vraiment chaud c'est la méthode utilisée car selon le groupe de recherche en sécurité VX-Underground, plusieurs groupes de hackers auraient exploité Ubisoft en même temps. L'un d'eux aurait utilisé une faille MongoDB récemment découverte, baptisée MongoBleed (CVE-2025-14847). Cette vulnérabilité permet à n'importe qui de siphonner la mémoire des serveurs MongoDB exposés, récupérant au passage des credentials, des tokens d'authentification et des clés. Un PoC public circule depuis le 26 décembre et environ 87 000 instances MongoDB seraient vulnérables dans le monde (mettez à jour, hein !!).

Un autre groupe prétend avoir aussi utilisé cette faille pour se balader dans les dépôts Git internes d'Ubisoft et voler des archives de code source remontant jusqu'aux années 90. Ces affirmations restent non vérifiées pour l'instant, mais si c'est vrai, c'est du lourd...

Bref, si vous avez un compte Ubisoft, je vous conseille vivement de changer votre mot de passe et de retirer vos moyens de paiement enregistrés, au cas où. Et pour Rainbow Six Siege, patience, ça va revenir... probablement avec un rollback qui effacera tous ces beaux cadeaux empoisonnés.

Source