A EA (Electronic Arts Inc.), desenvolvedora de jogos, teve que intensificar a segurança de da EA Origin, sua plataforma de distribuição digital de games, depois que os pesquisadores descobriram uma vulnerabilidade que pode ter exposto milhões de pessoas ao furto de suas contas. Segundo pesquisadores de segurança da Check Point e da CyberInt, a brecha expôs mais de 300 milhões de jogadores de games online muito populares, como Battlefield, Madden NFL, NBA Live e FIFA.

“A plataforma Origin da EA é extremamente popular e, se deixada sem correção, suas falhas teriam permitido que hackers roubassem e explorassem milhões de contas de usuários”, disse Oded Vanunu, chefe de pesquisa de vulnerabilidade de produtos da Check Point, em comunicado. 

A vulnerabilidade teria permitido que os hackers roubassem as contas das pessoas sem precisar de logins ou senhas. Isso porque, em vez disso, ele roubaria um token de autorização Sign- On, que é único. Isso daria controle total aos hackers. Os tokens de acesso são um método de autenticação semelhante a senhas, como códigos gerados por serviços para manter você conectado. 

Eles são mais difíceis de roubar do que as senhas, mas a tarefa não é impossível. Foi o que demonstrou uma vulnerabilidade similar no Fortnite e no Facebook. À medida que as pessoas se tornam mais conscientes de inserir suas senhas em sites suspeitos, os hackers recorrem ao roubo de tokens de acesso, o que pode ser feito em segundo plano, sem qualquer participação do usuário. 

Os pesquisadores de segurança conseguiram assumir o controle de um subdomínio da EA, sob a URL “eaplayinvite.ea.com”, que era um domínio inativo hospedado no serviço de nuvem Azure, da Microsoft. Eles solicitaram com sucesso a aquisição do domínio inativo do Azure e transformaram a página em uma armadilha de phishing. 

Feito isso, era possível enviar a página maliciosa para os jogadores e, como era um domínio da EA, a probabilidade de as vítimas confiarem no link era maior. A página sequestrada tinha um código embutido que levaria os tokens de acesso destinados ao EA e os direcionaria para os pesquisadores. 

“Nós tínhamos as vulnerabilidades sob controle para que nenhuma outra parte pudesse explorá-las durante o período que a EA precisou para corrigi-las”, disse Alexander Peleg, diretor de operações cibernéticas da CyberInt, em um e-mail.

A CyberInt e a Check Point disseram que procuraram a EA para consertar a falha em 19 de fevereiro. A companhia, por sua vez, afirmou ter resolvido a questão em três semanas. 

“Proteger nossos jogadores é nossa prioridade”, disse Adrian Stone, diretor de segurança de jogos e plataformas da empresa, em um comunicado. “Como resultado do relatório da CyberInt e da Check Point, contratamos nosso processo de resposta de segurança do produto para remediar os problemas relatados”.