Check Point Research hat am 16. Januar 2019 Anmeldelücken beschrieben, die eine Übernahme von Fortnite-Konten ermöglichten. Ein präparierter Link konnte den Forschern zufolge Zugangstokens abfangen, ohne dass Betroffene dort ihr Passwort eingeben mussten.
Der technische Bericht verbindet eine alte Epic-Subdomain mit Schwächen im Single-Sign-On-Ablauf. Die demonstrierte Angriffskette nutzt die Anmeldung über Facebook. Das Demonstrationsvideo der Forscher zeigt den Ablauf.
Epic wurde informiert und behob die Fehler
Die begleitende Check-Point-Mitteilung bestätigt die Behebung durch Epic Games. Der mögliche Zugriff umfasste Kontodaten und den Kauf der Ingame-Währung V-Bucks. Der Bericht belegt eine Forschungsschwachstelle, keinen massenhaften Datenabfluss.
Die frühere Lücke im Fortnite-Android-Installer betraf einen anderen Installationspfad. Der Januar-Fall zeigt dagegen ein Risiko der Web-Anmeldung: Auch ausgelagerte und ältere Subdomains können Teil der Sicherheitsgrenze eines Spielekontos bleiben.