Ponad 300 milionów graczy wystawionych na atak hakerów. EA łata krytyczne luki w Origin

Electronic Arts posiada bazę ponad 300 milionów aktywnych graczy, z czego zapewne większość korzysta z usług platformy Origin. To nie tylko sklep, ale także usługa abonamentowa Origin Access, czy EA Access dająca dostęp graczom pecetowym i konsolowym do bogatej biblioteki gier EA. Przeraża więc fakt, że firma przez długi czas nie zdawała sobie sprawy, jak poważne luki istnieją w jej systemach, które mogły doprowadzić do przejęcia kontroli nad kontami użytkowników, w tym do nieautoryzowanych zakupów, czy mikropłatności w oferowanych na Origin tytułach.

Na szczęście o tych problemach dowiadujemy się w czasie, w którym zostały wyeliminowane, a nie gdy hakerzy położyli swoje ręce na danych użytkowników EA. A wszystko dzięki czujnym pracownikom Check Point Research oraz CyberInt, którzy już w przeszłości zasłynęli między innymi odkryciem i zgłoszeniem 15-letniej luki w popularnej aplikacji archiwizującej WinRAR, o której pisaliśmy na początku roku w tekście Złośliwi mówią: „to kara za niepłacenia za WinRAR-a”. No, nie do końca…. Problemy w Origin dotyczyły tokenów autoryzacyjnych oraz mechanizmów oAuth Single Sign-On i TRUST odpowiadających za logowanie użytkowników i przekierowywanie na odpowiednie strony EA. Hakerzy w łatwy sposób mogli przejąć kontrole nad konkretnymi kontami wykorzystując złośliwe linki, co obrazuje poniższe wideo.

Przedstawiciele Check Point Research i CyberInt zamiast podzielić się swoim odkryciem z opinią publiczną woleli skontaktować się bezpośrednio z EA oferując swoją pomoc w wyeliminowaniu wszystkich odnalezionych problemów. Dopiero po wprowadzonej przez firmę aktualizacji Origin, która łata wszystkie luki, zdecydowano się o tym powiedzieć głośno. Czy to dobry ruch? Z jednej strony tak — upublicznienie takich informacji mogło się wiązać z szybszą reakcja hakerów wyprzedzającą działania EA. Z drugiej jednak strony, miliony użytkowników Origin korzystało z tej platformy nie wiedząc, że są potencjalnymi ofiarami ataków.

Źródło: Check Point Research