「フォートナイト」のアカウントをハッカーに盗まれてしまう脆弱性が見つかる

建築要素を盛り込んだバトルロイヤルゲームとして全世界で8000万人ものユーザーがプレイする「フォートナイト」に、ユーザーアカウントを簡単に盗まれてしまう脆弱性が存在するとセキュリティ研究者が報告しています。

Fortnite's Vulnerability: Only the Secure Survive | Check Point Software Blog
https://blog.checkpoint.com/2019/01/16/fortnite-vulnerability-where-only-the-secure-survive/

Fortnite Flaws Allowed Hackers to Takeover Gamers' Accounts
https://thehackernews.com/2019/01/fortnite-account-hacked.html

ソフトウェア開発企業のCheck Pointで働く研究者が、フォートナイトには複数のセキュリティ面における脆弱性が存在すると指摘しています。脆弱性のひとつは、ユーザーにリンクをクリックさせるだけで、攻撃者が遠隔操作でフォートナイトのプレイヤーアカウントを乗っ取ることを可能にします。

研究者は、フォートナイトが抱える脆弱性にSQLインジェクションやクロスサイトスクリプティング、さらにはウェブアプリケーションのファイアウォールをバイパスしてしまうバグ、加えて「OAuth認証引き継ぎバグ」を挙げています。

フォートナイトは全世界で8000万人以上のユーザーを抱える人気ゲームであり、オンラインオークションのeBayなどではフォートナイトのアカウントが5万ドル(約500万円)以上で売買されているケースもあるそうです。そのため、アカウントの乗っ取りは「悪夢となる」とThe Hacker Newsは指摘しています。

フォートナイトの専用アカウントはFacebook・Google・Xbox・PlayStationなどのシングルサインオン(SSO)を使用しているため、プレイヤーは簡単にアカウントを作成・ログインすることができます。

研究者によると、クロスサイトスクリプティングの欠陥および、フォートナイトの開発元であるEpic Gamesのサブドメイン上のリダイレクト問題を組み合わせることで、アタッカーは「特別に細工されたリンクをクリックするだけでユーザーアカウントの認証トークンを盗み出す仕組み」を作り出すことに成功しているとのこと。1度リンクをクリックして認証トークンを盗まれると、アタッカーはプレイヤーの個人情報にアクセスしたりゲーム内通貨を購入したり、アカウントそのものを売却したりすることが可能となります。

アカウント乗っ取りの流れを簡単に記すと以下のようになります。

1：アタッカーがフォートナイトユーザーに悪意あるリンクを送信
2：ユーザーはリンクをクリックしてフォートナイトのログインフォームにアクセス
3：アタッカーの細工によりログインフォームがサードパーティーのSNSに対してSSOトークンを要求
4：ログインフォームからアタッカーの仕込んだ悪意あるURLへリダイレクトされる
5：悪意あるJavaScriptが再びSSOトークンを要求
6：認証トークンがアタッカーに送信され、アカウント乗っ取りが可能に

Check Pointの研究者によると既に一部のユーザーがアカウント乗っ取りの被害にあっている模様。また、アタッカーは被害者がゲーム中に他プレイヤーと行っていたボイスチャットの内容にアクセスする可能性すらあるとのことで、アカウント所有者のプライバシーを著しく侵害する可能性も指摘されています。加えて、脆弱性のひとつであるSQLインジェクションを悪用することで、アタッカーが「Epic Gamesが使用しているMySQLデータベースのバージョン」を特定する可能性もある、と記しています。

なお、Check Pointはフォートナイトが抱える脆弱性をまとめたムービーも公開しています。

Fortnite Login Vulnerability - YouTube


他にも、研究者たちはフォートナイトで使用されているウェブアプリケーションのファイアウォールをバイパスし、ユーザーログインプロセスに対するクロスサイトスクリプティング攻撃を実行することにも成功しています。なお、Check Pointが発見した複数の脆弱性については、既に2018年12月中旬時点でEpic Games側に報告済み。

Check PointおよびEpic Gamesはフォートナイトユーザーに向け、ユーザーフォーラムや他サイトで提供されるリンクを不用意にクリックしないことを推奨しており、The Hacker Newsは「2段階認証を有効にすることをオススメする」と記しています。