Una brecha de seguridad en Fortnite dejó al descubierto datos personales y números de tarjetas de crédito de millones de usuarios
Los datos personales de los usuarios de uno de los videojuegos más populares de los últimos años, Fortnite, han estado expuestos al robo. Según ha podido saber eldiario.es, la firma de ciberseguridad Check Point ha descubierto dos vulnerabilidades que afectaban al popular juego, que cuenta con más de 200 millones de usuarios en todo el mundo. La primera y más importante comprometía a los sistemas Single Sign-On (SSO), los procesos de autenticación que permiten a los jugadores entrar al juego a través de su cuenta de Facebook, Google, Playstation Network o Xbox. El segundo fallo de seguridad estaba relacionado con un ataque de phishing, aunque mejorado.
Un portavoz de Epic Games confirma a eldiario.es la existencia del agujero de seguridad, que asegura que ya se ha resuelto: “Nos dimos cuenta de las vulnerabilidades y pronto nos ocupamos de ellas”. También agradecen a la firma de ciberseguridad haberles notificado el incidente. “Como siempre, animamos a los jugadores a que protejan sus cuentas no reutilizando contraseñas y utilizando contraseñas seguras, y no compartiendo la información de sus cuentas con otros”, concluyen los desarrolladores de Fortnite.
“Ha sido uno de nuestros hackers el que ha descubierto la vulnerabilidad y ha hecho una prueba de concepto de cómo puede ser utilizada”, explica a eldiario.es Eusebio Nieva, director técnico de Check Point España. La empresa de ciberseguridad se pusieron en contacto con Epic Games, los desarrolladores del videojuego multiplataforma, avisándoles del problema. “Ya lo han solucionado”, confirma Nieva al otro lado del teléfono.
Epic Games no especifica cuántos usuarios han podido verse afectados. Nieva, por su parte, se muestra cauteloso: “No sabemos si alguien antes que nosotros lo ha descubierto”. Recuerda también que los jugadores de Fortnite siempre han estado en el punto de mira de los ciberatacantes a través de los ataques de phishing, un tipo de estafa a través de Internet que se basa en el envío de enlaces que llevan a sitios maliciosos “que les pedían que se autenticaran con el usuario y la contraseña”.
El fallo: entrar a través de Facebook, Google... o PSN
El directivo de Check Point distingue entre las dos vulnerabilidades, una más importante que la otra, pero que en conjunto suponían graves riesgos para los jugadores. Así, la relacionada con los sistemas SSO, “nos permitía quedarnos con el token de autenticación que te sirven estos sistemas”, explica Nieva. Un token es el equivalente a la clave digital que mantiene a un usuario conectado sin necesidad de que este tenga que ingresar sus credenciales cada vez que accede al juego.
El ataque se producía en el proceso de autenticación de la cuenta, justamente al ingresar a través de Facebook, Google, Playstation Network, Xbox o Nintendo Switch. Es ahí cuando, según Nieva, se podía “reutilizar automáticamente su token volviéndoselo a pedir al sistema de SSO, generando un token auxiliar para nosotros utilizarlo e ingresar a la cuenta”.
Después, el ciberatacante tenía pleno control de la cuenta del usuario y podía “acceder a todos sus chats, a sus paVos [la divisa virtual del juego], comprar paVos con la tarjeta de crédito del usuario si la tiene metida, etcétera”, continúa Nieva. “Dado que el dominio desde el que se pedían las credenciales no estaba autenticado, se podía falsificar una petición, volviendo a pedir ese token”, explica.
La segunda vulnerabilidad descubierta por Check Point se encontraba “en uno de los dominios o los subdominios de Epic Games”, según Nieva. Cuando el jugador pinchaba en el link enviado por el ciberatacante entraba en una página similar a la de Epic Games (pero falsa) que capturaba el token del jugador. “Le podían engañar diciendo 'Recoge aquí tu pack de paVos gratuito' o 'Recoge aquí tu pack de criogenización' y él, al ver el enlace como si fuera de Epic Games, lo más probable es que picase”, revela el directivo.
Check Point insiste en que “la única forma de evitar esto es la de tener un doble factor de autenticación que haga que cuando la segunda petición se genere, pregunte a Google o a Facebook o al SSO en cuestión, quién eres”. También recomiendan a las empresas “realizar controles exhaustivos y periódicos en su infraestructura TI, sin dejar sitios o puntos de acceso obsoletos y sin uso”.
