Checkpoint Research ha scoperto un difetto di sicurezza di Fortnite verso la fine del 2018. La vulnerabilità ha consentito agli hacker di avviare facilmente uno schema di phishing inviando link agli utenti che assomigliavano a pagine di accesso, ma in realtà hanno raccolto account utente.

La RCP ha notificato il difetto a Epic Games a novembre ed Epic ha corretto la vulnerabilità settimane dopo. Tuttavia, durante quel periodo - e per qualche tempo prima che la RCP inviasse l'avviso - gli utenti Fortnite erano seriamente a rischio di frode.

La RCP specifica esattamente come l'exploit ha funzionato in una spiegazione molto tecnica sul suo blog. Tuttavia, l'essenza del processo era abbastanza semplice:

• Gli hacker sfruttano il sistema single sign-on utilizzato da Fortnite, che consente a un utente di accedere a Fortnite utilizzando altri account, come Facebook, Nintendo, Google+, ecc.
• Gli hacker inviano quindi un link a un utente che sembra legittimo. Tuttavia, li reindirizza effettivamente attraverso un server diverso che raccoglie le loro informazioni di accesso.
• Poiché il collegamento sembrava legittimo e l'utente non doveva inserire le proprie credenziali, l'utente pensa che non sia successo nulla.
• Gli hacker ottengono le informazioni di accesso, sorpassano l'account e utilizzano le opzioni di pagamento allegate per effettuare transazioni fraudolente.

SecondoThe Verge, gli hacker che usavano questo exploit acquistavano la valuta di gioco di Fortnite (V-Bucks) usando gli account dirottati, regalando quei V-Bucks a un altro account e poi vendendo i V-Bucks a una tariffa scontata ad altri giocatori sul web oscuro .

Fortnite guadagna miliardi di dollari dalle vendite in-game, quindi questa attività fraudolenta potrebbe essere abbastanza redditizia.

Epic Games ha dichiarato in una nota: "Siamo stati informati delle vulnerabilità e sono state presto risolte. Ringraziamo Check Point per averlo segnalato alla nostra attenzione. Come sempre, incoraggiamo i giocatori a proteggere i propri account non riutilizzando le password e utilizzando password complesse e non condividendo le informazioni dell'account con gli altri ".

Sebbene questa vulnerabilità sia ora corretta, questo dovrebbe essere un promemoria per tutti di usare password complesse, cambiarle spesso e inserire le credenziali solo in siti Web affidabili.