Precisamente la tradicional estrategia global de Sid Meier se está convirtiendo para Nintendo en una pesadilla de seguridad política: la versión en cartucho físico de Civilization VII para la Nintendo Switch original está en el centro de un nuevo exploit con el que hackers y desarrolladores de homebrew están vulnerando las barreras de seguridad de la Nintendo Switch 2 . La situación alrededor del llamado "CivSwitch" parece ser tan grave que, según informes, el editor 2K Games ya ha comenzado a retirar del mercado las copias físicas de la versión para Switch.

Cómo funciona "CivSwitch": del chat dentro del juego a la ejecución de código

La vulnerabilidad fue descubierta y dada a conocer por el modder y experto en seguridad Gezine. Lo curioso de este hack es que no ataca directamente al software de Switch 2, sino que aprovecha la retrocompatibilidad del nuevo hardware de Nintendo junto con una vulnerabilidad sin parchear del módulo anterior:

  • Requisito específico del módulo: el exploit funciona exclusivamente con la versión física 1.0.0 del módulo de Switch 1 de Civilization VII. Las versiones de software más recientes o las ediciones digitales puras de la eShop no tienen efecto.

  • Vulnerabilidad XSS en el chat: el vector de entrada es el chat de texto en modo multijugador local. A través de una vulnerabilidad de Cross-Site-Scripting (XSS) se puede insertar código JavaScript malicioso.

  • Inyección USB mediante hardware: con la ayuda de un microcontrolador conectado por USB (como un Raspberry Pi Pico) o un smartphone que se hace pasar por un teclado, el código se escribe automáticamente en el campo de chat y se ejecuta.

Hasta ahora, CivSwitch no es un jailbreak completo que permita reproducir juegos pirateados de Switch 2. Sin embargo, el hack otorga a los usuarios un acceso amplio al llamado Userland: permite manipular partidas guardadas, activar modificaciones del juego e iniciar programas homebrew no autorizados en la consola.

Oleada de cancelaciones en el comercio: 2K retira módulos del mercado

La noticia sobre el hack se difundió en subreddits especializados como un reguero de pólvora. En pocas horas, los aficionados compraron todo el stock restante de módulos físicos de Civilization VII en el comercio online para asegurarse la llave de acceso basada en hardware para Switch 2.

La reacción del editor 2K Games no tardó en llegar. Algunos minoristas, entre ellos Amazon, comenzaron de inmediato a cancelar los pedidos pendientes de las versiones físicas. En las notificaciones a los clientes afectados, el gigante de la distribución justificó la medida con una instrucción directa de 2K debido a "requisitos técnicos y de seguridad".

Como alternativa, algunos minoristas ofrecen a los compradores afectados versiones "Code-in-Box". Como estos empaques solo contienen un código de descarga para la Nintendo eShop y el exploit requiere obligatoriamente un cartucho 1.0.0 prensado, esta alternativa no funciona con licencias digitales. En la industria se considera un secreto a voces que Nintendo probablemente ejerció una gran presión sobre el editor para contener la distribución del módulo lo más pronto posible.

Las herramientas de IA aceleran el eterno juego del gato y el ratón

El caso CivSwitch refleja un dilema fundamental de las arquitecturas modernas de consolas: mientras que las versiones online pueden ser parcheadas en el servidor en cualquier momento, los soportes físicos congelan irremediablemente el estado del código en el momento de su prensado. Si un módulo producido millones de veces contiene una vulnerabilidad crítica, los fabricantes solo pueden recurrir a retirar el producto de las tiendas.

Además, el incidente alimenta el debate sobre el ritmo acelerado de la escena de modding. Gracias al uso dirigido de programas de programación generativa con IA, los hackers hoy en día pueden analizar el código del juego y las arquitecturas del firmware en una fracción del tiempo antes necesario y desarrollar exploits hechos a medida. Para Nintendo y otros propietarios de plataformas, CivSwitch representa simplemente la siguiente ronda acelerada por IA en un juego del gato y el ratón que probablemente mantendrá la seguridad de las consolas en constante movimiento durante años.