En Fortnite sikkerhedsfejl blev opdaget af Check Point Research i slutningen af 2018. Sårbarheden gjorde det muligt for hackere let at indlede en phishing-ordning ved at sende brugere links, der lignede login sider, men faktisk høstede brugerkonti.
CPR underrettede Epic Games om fejlen i november, og Epic lappet sårbarheden uger senere. I løbet af denne tid - og i et stykke tid før CPR sendte meddelelsen - var Fortnite-brugere i alvorlig risiko for svig.
CPR beskriver nøjagtigt, hvordan udnyttelsen fungerede i en meget teknisk forklaring på sin blog. Imidlertid var kernen i processen temmelig enkel:
- Hackere udnytter det single-sign-on-system, som Fortnite bruger, hvilket giver en bruger mulighed for at logge ind på Fortnite ved hjælp af andre konti, såsom Facebook, Nintendo, Google+ osv.
- Hackerne sender derefter et link til en bruger, der ser legitim ud. Dog omdirigerer det dem faktisk gennem en anden server, der skraber deres logininfo.
- Da linket så legit ud, og brugeren ikke behøvede at indtaste deres legitimationsoplysninger, mener brugeren, at der ikke skete noget.
- Hackere får login-info, overhaler kontoen og bruger de vedhæftede betalingsmuligheder til at foretage falske transaktioner.
IfølgeRanden, hackere, der brugte denne udnyttelse, ville købe Fortnites in-game-valuta (V-Bucks) ved hjælp af de kaprede konti, gave disse V-Bucks til en anden konto og derefter sælge V-Bucks til en nedsat sats til andre spillere på det mørke web .
Fortnite tjener milliarder af dollars på salg i spillet, så denne svigagtige aktivitet kan være ganske lukrativ.
Epic Games sagde i en erklæring: ”Vi blev gjort opmærksom på sårbarhederne, og de blev snart adresseret. Vi takker Check Point for at have bragt dette opmærksom på. Som altid opfordrer vi spillere til at beskytte deres konti ved ikke at genbruge adgangskoder og bruge stærke adgangskoder og ikke dele kontooplysninger med andre. ”
Selvom denne sårbarhed nu er rettet, skal dette være en påmindelse til alle om at bruge stærke adgangskoder, ændre dem ofte og kun indtaste legitimationsoplysninger på pålidelige websteder.
