Check Point Research va descobrir un defecte de seguretat Fortnite cap a finals del 2018. La vulnerabilitat va permetre als pirates informàtics iniciar un esquema de phishing fàcilment enviant enllaços als usuaris que semblessin pàgines d’inici de sessió, però realment recollien comptes d’usuaris.
CPR va notificar la falla a Epic Games al novembre i Epic va pegar la vulnerabilitat setmanes més tard. Tanmateix, durant aquell temps –i durant algun temps abans que CPR enviava l’avís–, els usuaris de Fortnite corrien un greu risc de frau.
CPR detalla exactament com funcionava la explotació amb una explicació molt tècnica al seu bloc. No obstant això, l’abordatge del procés era bastant simple:
- Els pirates informàtics exploten el sistema de registre únic que utilitza Fortnite, que permet a un usuari iniciar sessió a Fortnite mitjançant altres comptes, com ara Facebook, Nintendo, Google+, etc.
- Els pirates informàtics envien un enllaç a un usuari que sembla legítim. Tot i això, realment els redirigeix a través d’un servidor diferent que raspa la informació d’inici de sessió.
- Com que l’enllaç semblava legítim i l’usuari no havia d’introduir les seves credencials, l’usuari creu que no va passar res.
- Els pirates informàtics obtenen la informació d’inici de sessió, superen el compte i utilitzen les opcions de pagament adjuntes per realitzar transaccions fraudulentes.
D'acord ambLa Verge, els pirates informàtics que utilitzessin aquesta explotació comprarien la moneda de joc de Fortnite (V-Bucks) mitjançant els comptes segrestats, regalarien aquells V-Bucks a un altre compte i després vendrien els V-Bucks a un preu rebaixat a altres jugadors de la web fosca. .
Fortnite obté milers de milions de dòlars en vendes al joc, de manera que aquesta activitat fraudulenta podria tenir una gran benefici.
Epic Games va dir en un comunicat: "Ens van fer conscients de les vulnerabilitats i aviat es van abordar. Agraïm Check Point per posar-ho en coneixement. Com sempre, animem als jugadors a protegir els seus comptes a no tornar a utilitzar contrasenyes i a utilitzar contrasenyes fortes i a no compartir informació del compte amb altres persones. "
Tot i que aquesta vulnerabilitat està ara pegada, aquest ha de ser un recordatori per a tots els que utilitzin contrasenyes fortes, canviïn sovint i només introduïu les credencials en llocs web de confiança.
