Check Point的研究人員近日公佈了高人氣線上動作生存遊戲《要塞英雄(Fortnite)》的漏洞細節，這款遊戲的所有玩家都可能會成為該漏洞的受害者。攻擊者可以利用此漏洞完全獲取使用者帳號和個人資訊，並利用他們登錄的支付方式來購買虛擬遊戲貨幣。此外，該漏洞還可能導致隱私被大肆侵犯。

《要塞英雄》在全球擁有近 8000 萬玩家，受到所有遊戲玩家的喜愛，包括Android、iOS、Microsoft Windows 電腦以及 Xbox One 和 PlayStation 4 等平台。除了業餘玩家外，《要塞英雄》也是職業玩家進行線上遊戲直播的寵兒，並且深受電競愛好者的歡迎。

漏洞一旦遭到利用，攻擊者便能完全獲取使用者帳號和個人資訊，並利用他們登錄的支付方式來購買虛擬遊戲貨幣。此外，該漏洞還可能導致隱私被大肆侵犯，因為攻擊者可以偷聽受害者在遊戲時的聊天對話，甚至在家中或其他遊戲場所周圍的聲音和對話。《要塞英雄》玩家此前曾遭遇欺騙攻擊，引誘他們登錄承諾生成《要塞英雄》“V-Buck”遊戲貨幣的虛假網站，而且這些新漏洞在玩家無需提供任何登錄細節的情況下便能被駭客利用。

Check Point概述了攻擊者如何利用在《要塞英雄》用戶登錄過程中發現的漏洞來獲取用戶帳號。研究人員在 Epic Games 的網路基礎設施中發現了三個漏洞缺陷，藉以探悉攻擊者如何同時利用基於權杖的身份驗證流程(token-based authentication process)和如Facebook、Google和Xbox的單一登入 (SSO) 系統盜取用戶訪問憑證和帳號。

首先，玩家只要點擊來自 Epic Games 網域、攻擊者精心設計的看似透明的網路釣魚連結便會受到攻擊。

點擊該連結後，使用者即便沒有輸入任何登錄憑證，攻擊者也可輕鬆捕獲其《要塞英雄》的身份驗證權杖。Check Point 研究人員指出，Epic Games 兩個子域中發現的易遭到惡意重定向影響的潛在漏洞，將導致駭客能通過受攻擊的子域攔截用戶的合法身份驗證權杖。

Check Point產品漏洞研究主管Oded Vanunu表示：「《要塞英雄》是線上玩家中最熱門的遊戲之一。這些缺陷為駭客大肆侵犯隱私提供了可乘之機。我們近日還在無人機製造商DJI大疆所用的平台中發現了漏洞，顯示雲端應用極易遭受攻擊和破壞。這些平台擁有大量的敏感客戶資料，因而被越來越多的駭客所窺伺。實施雙重因素身份驗證能夠幫助緩解這種帳戶被竊取的漏洞。」

Check Point 已經向 Epic Games 通知了該漏洞（現已修復）的存在。Check Point 和 Epic Games 建議所有使用者在交換數位資訊時保持警惕，並且在與他人進行線上互動時養成安全的網路習慣。對於在使用者論壇和網站上看到的資訊連結，使用者應當對其合法性保持懷疑的態度。

企業必須對其 IT 基礎設施進行全面和定期的安全檢查，確保過期和不用的網站或訪問點已經下線。此外，對已不使用但仍然在線的過期網站或子域進行審查也是可取的做法。

為了最大限度地降低此類漏洞帶來的威脅，用戶應當啟用雙重因素身份驗證，確保在新設備上登錄帳戶時，需要輸入發送到帳戶持有人電子信箱中的驗證碼。同樣重要的是，家長應讓孩子們意識到網路詐欺的威脅，並提醒他們網路犯罪分子將會不擇手段地獲取玩家線上帳戶中的個人和財務資訊。

該漏洞的完整技術分析詳見 Check Point Research 部落格： https://research.checkpoint.com/hacking-fortnite/