Tietoturvayritys Check Point Softwaren tutkimustoiminnasta vastaava osasto Check Point Research, ja digitaalisen kuluttajaliiketoiminnan tarpeita palveleva tietoturvayhtiö CyberInt ovat tunnistaneet haavoittuvuuksien ketjun Origin-palvelualustassa, jonka on kehittänyt tietokone- ja videopeliyhtiö Electronic Arts (EA). Heikkouksien ketju altisti yli 300 miljoonaa peliharrastajaa kautta maailman pelitilin kaappaukselle ja identiteettivarkaudelle.
Haavoittuvuuksien kautta olisi voinut ottaa haltuun pelaajan tilin ja kaapata hänen identiteettinsä. Myös pelien ja pelirahan ostaminen uhrin luottokorttitietojen avulla olisi ollut mahdollista.
EA on maailman toiseksi suurin peliyhtiö, joka tunnetaan etenkin urheilupeleistään. Sen pelejä ovat FIFA, Madden NFL, NBA Live, UFC, The Sims, Battlefield, Command and Conquer ja Medal of Honor. Pelit hyödyntävät Origin-asiakaspalvelusovellusta, jonka avulla pelaajat voivat ostaa ja pelata EA:n pelejä PC:llä ja mobiililaitteella. Origin mahdollistaa esimerkiksi profiilin hallinnan, verkostoitumisen chatin kautta ja yhteispelaamisen.
CyberIntin ja Check Pointin tutkijat ilmoittivat haavoittuvuuksista EA:lle alan vakiintuneiden käytäntöjen mukaisesti, mikä mahdollisti niiden paikkaamisen ja päivityksen julkaisemisen. - Pelaajien turvallisuus on meille ensisijainen tavoite, joten käynnistimme toimet raportoitujen ongelmien korjaamiseksi heti saatuamme raportin CyberIntin ja Check Pointin löydöksistä, vahvisti Electronic Artsin pelien ja pelialustan tietoturvasta vastaava johtaja Adrian Stone.
Mahdollinen hyökkääjä olisi päässyt tilitietoihin hyödyntämällä hylättyjä aliverkkotunnuksia (subdomaineja) ja EA Gamesin käyttämiä kirjautumistunnisteita (access tokens) sekä sisäänkirjautumisprosessiin rakennettuja OAuth Single Sign-On (SSO)- ja TRUST-mekanismeja. Niiden avulla Origin-tiliä on mahdollista käyttää esimerkiksi Facebook- tai Google-käyttäjätunnuksen ja salasanan avulla. Uhrin olisi pitänyt vain klikata hyökkääjän lähettämää linkkiä, joka olisi tullut aidosta, mutta hylätystä ja kaapatusta EA:n osoitteesta.
- EA:n Origin-alusta on valtavan suosittu, ja jos se olisi jätetty paikkaamatta, viat olisivat mahdollistaneet miljoonien käyttäjätilien kaappaamisen ja hyödyntämisen. Löysimme aikaisemmin samantyyppisiä haavoittuvuuksia Epic Gamesin Fortnite-alustasta. Molemmat tapaukset osoittavat, miten alttiita verkko- ja pilvisovellukset ovat hyökkäyksille ja tietomurroille. Tällaiset pilvessä toimivat sovellukset ovat entistä useammin hakkereiden hyökkäyskohteina, koska ne sisältävät suuria määriä pelaajien henkilötietoja ja usein myös luottokorttitiedot, sanoi Check Pointin haavoittuvuuksien tutkimuksesta vastaava johtaja Oded Vanunu.
Check Point ja CyberInt suosittelevat vahvasti käyttämään kaksivaiheista tunnistautumista ja lataamaan pelejä vain niiden virallisilta verkkosivuilta. Vanhempien tulisi huolehtia siitä, että lapset tuntevat verkon vaarat ja ymmärtävät, että kyberrikolliset ovat valmiita lähes mihin tahansa päästäkseen käsiksi pelaajien tietoihin. Check Point ja CyberInt kannustavat peliharrastajia olemaan jatkuvasti valppaina saadessaan tuntemattomista lähteistä lähetettyjä linkkejä.
