Les vulnérabilités identifiées permettraient aux pirates de déclencher leur propre « battle royale » contre les joueurs.

Les chercheurs de Check Point® Software Technologies Ltd. (NASDAQ : CHKP), l'un des principaux fournisseurs de solutions de cybersécurité dans le monde, dévoilent aujourd'hui dans le détail les vulnérabilités qui auraient pu affecter les joueurs du fameux jeu de combat en ligne Fortnite.

Fortnite compte près de 80 millions de joueurs dans le monde. Très populaire, le jeu tourne sur toutes les plateformes, depuis Android, iOS ou PC via Microsoft Windows jusqu’aux consoles Xbox One et PlayStation 4. En plus des joueurs occasionnels, Fortnite est utilisé par les joueurs professionnels qui utilisent leurs sessions en ligne et il rencontre un franc succès auprès des amateurs de sports électroniques.

Si elle avait été découverte, la faille aurait donné aux pirates un accès total au compte utilisateur et informations personnelles d’un joueur lambda. Elle aurait également permis l’accès à l’option de paiement par monnaie virtuelle proposée dans le jeu, et l’utilisation frauduleuse de sa carte de paiement. Grâce à cette faille un pirate aurait pu écouter les conversations dans le jeu ainsi que les bruits environnants émanent du domicile de la victime ou tout autre endroit dédié au jeu, portant ainsi atteinte à sa privée. Sachant que des joueurs de Fortnite ont été récemment la cible d’escroqueries les incitant à se connecter à de faux sites Web contre la promesse de générer de la monnaie de jeu 'V-Buck' de Fortnite, ces nouvelles failles auraient pu être exploitées, sans même que le joueur ait à fournir les informations de connexion.

Les experts de Check Point ont réussi à décrypter le processus de piratage d’un compte utilisateur Fortnite au travers de failles dans le processus de connexion au jeu, révélant ainsi trois niveaux de vulnérabilités dans l'infrastructure Web d'Epic Games, plus particulièrement dans le processus d'authentification par jeton utilisé avec les systèmes de Single Sign-On (SSO) via Facebook, Google et Xbox. Elles auraient permis de voler les informations d'accès des utilisateurs et prendre contrôle de leur compte.

Concrètement, un joueur n'avait qu'à cliquer sur un lien d'hameçonnage artisanal provenant à première vue d’Epic Games et permettant la capture du jeton d'authentification Fortnite de l'utilisateur par le pirate au moyen de deux sous-domaines vulnérables identifiés dans le jeu par les experts Check Point, et ce, sans que l'utilisateur n'ait à rentrer ses identifiants de connexion.

« Fortnite est l'un des jeux les plus populaires du moment, notamment auprès des enfants. Ces failles auraient pu porter atteinte à leur vie privée et celle de leur famille de manière significative », explique Oded Vanunu, responsable de la recherche sur la vulnérabilité des produits chez Check Point. « Avec les failles que nous avons récemment recensées dans les plates-formes utilisées par le fabricant de drones DJI, on voit à quel point les applications cloud sont vulnérables aux attaques. Ces plates-formes sont de plus en plus ciblées par les pirates informatiques en raison de l'énorme quantité de données sensibles qu'elles contiennent. L'authentification à double facteur pourrait atténuer cette vulnérabilité de prise de contrôle de comptes par des pirates. »

Check Point a alerté Epic Games de la vulnérabilité, laquelle est désormais corrigée. Check Point et Epic Games conseillent à tous les utilisateurs de rester vigilants lorsqu'ils échangent des informations par voie numérique, et d'adopter des habitudes cybernétiques sûres lorsqu'ils interagissent en ligne. Ensemble, ils attirent également l’attention sur le fait que les utilisateurs doivent aussi se méfier des liens vers des informations disponibles sur les forums d'utilisateurs et les sites Web.

Les entreprises doivent effectuer des contrôles réguliers et approfondis de leur infrastructure informatique et vérifier qu'elles n'ont pas laissé des sites ou des points d'accès obsolètes et inutilisés accessibles en ligne. En outre, il est recommandé d'examiner tout site Web ou domaines obsolètes encore accessibles en ligne mais pas utilisés.

Afin de réduire les menaces, les utilisateurs doivent activer l'authentification à double facteur, en s'assurant d’entrer un code de sécurité envoyé aux adresses e-mail du titulaire du compte lorsqu'ils se connectent à leur compte depuis un nouveau périphérique. Il est également important que les parents sensibilisent leurs enfants à la menace de fraude en ligne et les avertissent du fait que les cybercriminels feront tout pour avoir accès à leurs données personnelles et financières.

Pour une analyse détaillée des vulnérabilités Fortnite: https://research.checkpoint.com/hacking-fortnite/