Investigadores de seguridad fueron capaces de robar tokens de acceso atacando un subdominio de Epic Games
Acorde a especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética, una falla en el sistema de autenticación de cuentas de Epic Games para el popular videojuego Fortnite dejó expuestas las cuentas de los ‘gamers’. Según los reportes, usuarios maliciosos podrían haber robado tokens de inicio de sesión; los atacantes sólo necesitaban que las víctimas hicieran clic en un enlace especialmente diseñado.
Una secuencia de comandos entre sitios (XSS), en conjunto con un subdominio no validado, permitió a los expertos en ciberseguridad evadir las medidas de protección implementadas por el sistema de control de inicio de sesión usado para acceder a Fortnite.
Los sistemas de inicio de sesión único (single sign-on) pueden ser útiles, pero sólo mientras la plataforma a la que se accede no sea vulnerable, consideran expertos en seguridad en redes. Cuando son adecuadamente implementados, la autenticación de usuario pasa a manos de un tercero, que autoriza el acceso a la plataforma a través de un token.
Investigadores de una firma especializada en seguridad en redes lograron explotar la vulnerabilidad para solicitar el token único en una segunda ocasión y posteriormente redirigirlo a una página comprometida, desde donde podría ser robado. Los investigadores concluyeron que Epic Games usó un dominio no validado para su página de inicio de sesión (accounts.epicgames.com), que podría redirigirse a otro sitio. Después de redirigir al token al sitio vulnerable, los expertos fueron capaces de robarlo con una inyección de código JavaScript.
Para que el ataque tenga éxito, se requiere que la víctima haga clic en un enlace de phishing. Cuando la víctima accede a Fortnite, la página de sesión se redirige hacia la página del atacante, donde el token será robado. Puede que este ataque no sea el más elaborado, pero los atacantes requieren ciertos conocimientos técnicos más allá de los necesarios para desplegar campañas de phishing o ataques de fuerza bruta.
Al tratarse de un ataque de complejidad promedio, los investigadores no descartan que la vulnerabilidad haya sido explotada en un escenario real, aunque esto es difícilmente comprobable. Por su parte, Epic Games emitió un comunicado afirmando que la vulnerabilidad fue corregida a principios de diciembre de 2018, aunque omitió mencionar si es que existen indicios de que el bug haya sido explotado en algún momento. Fortnite se ha vuelto increíblemente popular, registrando casi 80 millones de jugadores al mes, además de unos 200 millones de jugadores registrados en la plataforma.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
