Check Point Research löysi Fortnite-tietoturvavirheen vuoden 2018 loppupuolella. Haavoittuvuus antoi hakkereille mahdollisuuden aloittaa tietojenkalastelujärjestelmä helposti lähettämällä käyttäjille linkkejä, jotka näyttivät kirjautumissivuilta, mutta tosiasiallisesti korvasivat käyttäjätilit.

CPR ilmoitti Epic Gamesille virheestä marraskuussa, ja Epic korjasi haavoittuvuuden viikkoja myöhemmin. Tuona aikana - ja jonkin aikaa ennen CPR: n lähettämää ilmoitusta - Fortniten käyttäjillä oli kuitenkin vakava petosriski.

CPR kuvaa yksityiskohtaisesti, kuinka hyväksikäyttö toimi, hyvin teknisessä selityksessä blogissaan. Prosessin pääsisältö oli kuitenkin melko yksinkertainen:

• Hakkerit hyödyntävät Fortniten käyttämää kertakirjautumisjärjestelmää, jonka avulla käyttäjä voi kirjautua sisään Fortniten muilla tileillä, kuten Facebook, Nintendo, Google+ jne.
• Hakkerit lähettävät sitten linkin käyttäjälle, joka näyttää oikealta. Se kuitenkin ohjaa heidät toisen palvelimen kautta, joka kaappaa heidän kirjautumistiedot.
• Koska linkki näytti lailliselta ja käyttäjän ei tarvinnut tosiasiallisesti syöttää käyttäjätietoja, käyttäjän mielestä mitään ei tapahtunut.
• Hakkerit saavat kirjautumistiedot, ohittavat tilin ja käyttävät liitteenä olevia maksutapoja vilpillisten tapahtumien tekemiseen.

MukaanPiiri, tätä hyväksikäyttöä käyttäneet hakkerit ostaisivat Fortniten pelin sisäisen valuutan (V-Bucks) kaapattujen tilien avulla, lahjoittaisivat nämä V-Bucks -sivut toiselle tilille ja myyvät sitten V-Bucks-alennushinnalla muille tummanverkon pelaajille. .

Fortnite ansaitsee miljardeja dollareita pelien sisäisestä myynnistä, joten tämä petollinen toiminta voi olla melko tuottoisaa.

Epic Games sanoi lausunnossaan: ”Meille tehtiin tietoisia haavoittuvuuksista, ja niihin puututtiin pian. Kiitämme Check Pointia siitä, että hän kiinnitti tämän huomioihimme. Kuten aina, kannustamme pelaajia suojelemaan tiliään käyttämättä salasanoja uudelleen ja vahvoja salasanoja eikä jakamalla tilitietoja muiden kanssa. "

Vaikka tämä haavoittuvuus on nyt korjattu, sen tulisi muistuttaa kaikkia käyttämään vahvoja salasanoja, vaihtamaan niitä usein ja antamaan käyttöoikeustiedot vain luotettaviin verkkosivustoihin.