Épico golpeado por una demanda colectiva sobre cuentas Fortnite pirateadas

Epic Games, el desarrollador de Fortnite, está siendo demandado en una demanda colectiva después de que una violación de seguridad permitió a los piratas informáticos acceder a la información personal de los usuarios con cuentas de Epic Games.

La demanda colectiva fue presentada por Franklin D. Azar & Associates en el Tribunal de Distrito de los Estados Unidos en Carolina del Norte. La demanda cita la "falla de Epic en mantener las medidas de seguridad adecuadas y notificar a los usuarios sobre la violación de seguridad de manera oportuna". Continúa mencionando que hay más de 100 miembros de la clase involucrados en la demanda.

Epic reconoció la violación en enero, suponiendo que un error en Fortnite podría haber expuesto la información personal de millones de cuentas de usuario. La compañía solucionó el problema, pero la demanda alega que la compañía no notificó a los usuarios afectados la posibilidad de que su información personal se vea comprometida. La presentación dice que el demandante y cualquier otra persona afectada por las infracciones "tienen un interés constante en garantizar que su [personally identifiable information] está protegido de las amenazas de ciberseguridad pasadas y futuras ".

Los investigadores de seguridad de Check Point descubrieron la violación en noviembre de 2018 antes de que Epic la reconociera en enero de 2019. "Nos enteramos de las vulnerabilidades y pronto se abordaron", dijo un portavoz de Epic Games en ese momento. "Agradecemos a Check Point por informarnos de esto. Como siempre, alentamos a los jugadores a proteger sus cuentas al no reutilizar contraseñas y usar contraseñas seguras, y no compartir la información de la cuenta con otros".

Sin embargo, el informe de Check Point detalla una vulnerabilidad que no podría haber sido evitada por los constantes cambios de contraseña. "Al descubrir una vulnerabilidad encontrada en algunos de los subdominios de Epic Games, se permitía un ataque XSS con el usuario simplemente necesitando hacer clic en un enlace que el atacante le envió. Una vez que se hizo clic, sin necesidad ni siquiera de ingresar credenciales de inicio de sesión, su nombre de usuario y contraseña de Fortnite podrían ser capturados inmediatamente por el atacante ".

"Incluso si tú [had] un producto de seguridad que busca anti-phishing, no atraparía [the hack] porque proviene de un dominio legítimo ", dijo el jefe de investigación de vulnerabilidad de productos de Check Point, Oded Vanunu. Vanunu alentó a los jugadores a habilitar la autenticación de dos factores para sus cuentas épicas". El secuestro de tokens es algo que está sucediendo en todas las plataformas principales, "Vanunu continuó." Estamos empezando a ver a atacantes maliciosos buscando más fichas ".