Check Point descubre nuevas vulnerabilidades en Fortnite
- Actualidad
Sin que el usuario tenga que introducir ninguna credencial de inicio de sesion en Fortnite, un ciberdelincuente podría acceder a su cuenta, hacer uso de su tarjeta de crédito y acceder a sus conversaciones.
Fortnite se ha convertido en un elemento muy atractivo para los ciberdelincuentes. Con más de 80 millones de jugadores repartidos por todo el mundo, el juego de Epic Games es responsable de la mitad de los entre cinco y ocho mil millones de dólares que genera el editor de juegos. Fortnite ya fue pasto de los ciberdelincuentes el pasado mes de agosto, cuando una vulnerabilidad en el instalador de Android permitía que se descargara cualquier otra aplicación en el teléfono sin conocimiento del usuario.
Ahora Check Point ha detectado nuevas vulnerabilidades, ya parcheadas por Epic Games, que permitirían a los atacantes controlar las cuentas, acceder a los datos personales y hacer compras con el dinero virtual usando los datos de la tarjeta de crédito de los jugadores. “Y habrá más ataques”, asegura Eusebio Nieva, director técnico de Check Point en declaraciones a IT Digital Security.
Se trata, en opinión de Nieva, de vulnerabilidades “complejas que no han sido explotadas”. De explotarse, el ciberdelincuente podría acceder a la cuenta de un usuario y a su información personal, además de comprar dinero virtual en el juego utilizando los datos de la tarjeta de pago de la víctima. Los fallos de seguridad también afecta a la privacidad, ya que el ciberdelincuente podría escuchar las conversaciones dentro del juego, así como los sonidos y conversaciones de la casa de la víctima u otro lugar de juego.
Explica Nieva que las vulnerabilidades encontradas en la infraestructura de Epic Games permiten explotar un fallo en el proceso de autenticación basado en tokens que se utiliza con los sistemas Single Sign-On (Facebook, Google y Xbox) para robar las credenciales de acceso del usuario y hacerse con la cuenta de la víctima.
Una de las vulnerabilidades se detectó en un servidor antiguo, desde el que se enviarían mensajes a usuarios de Fortnite que, al proceden de un subdominio del editor de juegos, susceptible a una redirección maliciosa, serían confiables. Al pinchar sobre el enlace y acceder al token de autenticación, el ciberdelincuente puede hacer un take over de la cuenta sin que el jugador tenga que introducir ninguna credencial de inicio de sesión. En opinión de Eusebio Nieva sería necesario el uso de un doble factor de autenticación (2FA) para evitar este take over.
El análisis técnico completo de esta vulnerabilidad está disponible en el blog de Check Point Research a través de este enlace.
