Steam dokumentierte am 26. Juli 2015 eine Lücke in der Passwort-Wiederherstellung, über die sich fremde Konten ohne den vorgesehenen Bestätigungscode öffnen ließen. Valve hatte den Fehler nach eigenen Angaben bereits behoben.
Das Demonstrationsvideo zeigt den Ablauf der damaligen Schwachstelle. Für den Angriff genügte laut der offiziellen Steam-Mitteilung der Benutzername des Kontos. Der Schritt zur Eingabe des Bestätigungscodes konnte übersprungen werden.
Passwortwechsel ohne Bestätigung
Die Lücke saß im Prozess zum Zurücksetzen des Passworts. Nach Eingabe eines bekannten Benutzernamens gelangte ein Angreifer direkt in den nächsten Schritt, obwohl die dafür vorgesehene Prüfung noch nicht erfolgreich abgeschlossen war. Ein separates Passwort musste dafür nicht bekannt sein.
Bedeutung für Spielekonten
Ein kompromittiertes Steam-Konto betrifft nicht nur den Zugang zu Spielen. Zum Konto gehören auch die persönliche Bibliothek, gespeicherte Zahlungsdaten und gegebenenfalls handelbare Gegenstände. Valve schloss die Lücke nach der Entdeckung und veröffentlichte die Beschreibung, nachdem der Fehler behoben war. Steam war bereits zuvor Gegenstand einer technischen Anleitung zum Umgang mit der lokalen Spielebibliothek.