Sicherheitsforscher von Check Point gaben Details der Sicherheitslücken bekannt, die für alle Spieler des äußerst beliebten Online-Shooters Fortnite hätten Folgen haben können. Fortnite verzeichnet weltweit nahezu 80 Millionen Spieler. Das Spiel ist auf allen Gaming-Plattformen, wie Android, iOS, PC über Microsoft-Windows sowie auf Konsolen, wie Xbox-One und Play-Station 4, populär. Neben Freizeitspielern nutzen Fortnite auch professionelle Gamer, die ihre Sessions online streamen und der Titel erfreut sich bei E-Sports-Enthusiasten großer Beliebtheit.
Hätten Angreifer die Sicherheitslücke ausgenutzt, hätten sie vollen Zugriff auf die Konten und persönlichen Daten der Nutzer erlangt und wären somit in der Lage gewesen, über die Kreditkartendaten des Opfers virtuelle In-Game-Währung zu kaufen. Die Schwachstelle hätte auch einen massiven Eingriff in die Privatsphäre bedeutet. Dem Hacker wäre es möglich gewesen, die In-Game-Gespräche sowie die Umgebungsgeräusche und Unterhaltungen im Haus des Opfers oder an anderen Spielorten mitzuhören. Fortnite-Spieler waren schon früher Ziel von Betrugsversuchen. Hierbei war es das Ziel sie zu verleiten, sich in gefälschte Webseiten einzuloggen, die versprachen, „V-Buck“, die In-Game-Währung von Fortnite, zu generieren. Die neuen Sicherheitslücken hätten jedoch ohne eine aktive Beteiligung der Spieler genutzt werden können und somit ohne die Preisgabe der Log-in-Daten.
Aufgrund dreier Sicherheitslücken, die in der Webinfrastruktur von Epic Games gefunden wurden, waren die Forscher in der Lage, den Token-basierten Authentifizierungsprozess nachzuahmen, der dann in Verbindung mit Single-Sign-On-Systemen (SSO), wie Facebook, Google und Xbox genutzt wurde, um die Zugangsdaten von Nutzern zu stehlen und ihre Konten zu übernehmen.
Um Opfer dieses Angriffs zu werden, muss ein Spieler lediglich einen manipulierten Phishing-Link anklicken, der von einer Domain von Epic Games kommt, um alles sicher erscheinen zu lassen. Tatsächlich aber wurde der Link vom Angreifer versandt. Sobald der Nutzer den Link angeklickt hat, könnte das Fortnite-Authentifizierungstoken vom Angreifer abgefangen werden, ohne dass der Nutzer seine Login-Daten eingeben muss.
Laut Angaben der Check-Point-Forscher entstanden die potenziellen Sicherheitslücken durch Fehler, die in zwei Unterdomänen von Epic Games gefunden wurden und eine bösartige Umleitung ermöglicht hätten. Dadurch wäre es einem Hacker möglich gewesen, die legitimen Authentifizierungstokens der Nutzer von der kompromittierten Unterdomäne abzufangen.
„Fortnite ist eines der beliebtesten Spiele, das hauptsächlich von Kindern gespielt wird. Durch diese Fehler wurde ein massiver Eingriff in die Privatsphäre möglich“, sagte Oded Vanunu, Leiter der Produktschwachstellenforschung bei Check Point. „Zusammen mit den Sicherheitslücken, die wir kürzlich in den vom Drohnenhersteller DJI genutzten Plattformen gefunden haben, wird die hohe Anfälligkeit von Cloud-Anwendungen für Angriffe und Verstöße sichtbar. Diese Plattformen geraten aufgrund der riesigen Mengen sensibler Kundendaten, die sie enthalten, zunehmend ins Visier von Hackern. Die Nutzung von Zwei-Faktor-Authentifizierung könnte die Sicherheitslücke, die zur Kontoübernahme führt, beheben.“
Check Point hat Epic Games über diese Sicherheitslücke, die inzwischen behoben wurde, in Kenntnis gesetzt. Check Point und Epic Games raten allen Nutzern wachsam zu bleiben, wann immer Informationen digital ausgetauscht werden, sowie sichere Cyberpraktiken anzuwenden. Benutzer sollten auch die Legitimität von Links zu angeblichen Informationen, die in Nutzerforen und auf Webseiten zu sehen sind, infrage stellen.
Organisationen müssen in ihrer IT-Infrastruktur gründliche und regelmäßige Hygienechecks vornehmen, damit gewährleistet ist, dass keine veralteten und ungenutzten Seiten oder Zugriffspunkte online sind. Darüber hinaus ist es gute Praxis, alle veralteten Webseiten oder Unterdomänen zu überprüfen, die vielleicht noch online sind, aber nicht mehr genutzt werden.
Um die Gefahr zu minimieren, Opfer eines Angriffs zu werden, bei dem Sicherheitslücken wie diese ausgenutzt werden, sollten Benutzer die Zwei-Faktor-Authentifizierung aktivieren. Dadurch ist gewährleistet, dass der Spieler, wenn er sich von einem neuen Gerät aus in sein Konto einloggt, einen Sicherheitscode eingeben muss, der zuvor an die E-Mail-Adresse des Kontoinhabers geschickt wurde. Wichtig ist auch, dass Eltern ihre Kinder auf die Gefahr von Online-Betrug aufmerksam machen und warnend darauf hinweisen, dass Cyberkriminelle alles tun, um Zugriff auf persönliche und finanzielle Daten zu erlangen, die Teil des Online-Kontos eines Gamers sein können.
#Netzpalaver #CheckPoint
