ثغرة تافهة تُحرج EA وتُمكن الهاكرز من قرصنة بعض حسابات FIFA 22

تورطت FIFA 22 مؤخرًا في فضيحة قرصنة كبيرة ومُخزية، حيث أبلغ بعض صُناع المحتوى البارزون أن حساباتهم قد تم الاستيلاء عليها من قبل بعض الهاكرز. ما القصة؟

تعرض عدد متزايد من لاعبي FIFA 22 الأسبوع الماضي لاختراق حسابات EA الخاصة بهم، حتى أن بعض أكبر الستريمرز وقعوا ضحية أيضًا لذلك.

بعض أشهر صُناع المحتوى في فيفا 22، بما في ذلك Jamie Bateson (AKA Bateson87) وNickRTFM وTrymacs وTisiSchubecH وFUT FG، تم اختراق حسابات EA الخاصة بهم في الأيام الأخيرة، مع تجريد أندية FUT الخاصة بهم من العملات المعدنية واللاعبين.

نال المجتمع التداولي أيضًا في FIFA 22 نصيبه من هجمات الهاكرز، حيث تم اختراق بعض المتداولين الأكثر نجاحًا في اللعبة بما في ذلك FUT Donkey وJoaoSeleiro وnarcoinsfc (Wael) وlNoahHDl في الأيام الأخيرة.

كيف تم اختراق تلك الحسابات؟

الحيلة التي استخدمها المخترقون تتمثل في الحصول على مُعرّف PSN أو الجيمر تاج لهؤلاء اللاعبين، ومن ثمّ التواصل مع EA Help للادعاء بشكل خاطئ أنه تم حظر دخولهم إلى حساباتهم.

فيما يتعلق بـ EA Help، لا يتعين على اللاعبين تسجيل الدخول إلى حساب لبدء محادثة مباشرة مع الدعم، والأمر لا يتطلب سوى تقديم اسم وعنوان بريد إلكتروني فقط!

وبالتالي عندما تبدأ الدردشة المباشرة، يقدم المُخترق اسم Gamertag أو PSN ID الخاص بحساب اللاعب الذي يريد اختراقه ثم يزعم أنه يرغب في تغيير عنوان البريد الإلكتروني المرتبط بالحساب. يا لها من حيلة رخيصة!

ما يُثير الغضب حقًا هو أن EA تتبع البروتوكول الأمني المعتاد عند تواصل أي مستخدم مع خدمة EA Help والذي يتمثل في التحقق من أن الشخص الموجود في الدردشة هو الشخص الذي لديه حق الوصول إلى الحساب فعلًا، قبل الموافقة على تغيير عنوان البريد الإلكتروني.

ومع ذلك، في حالات نادرة، يستطيع الهاكرز إقناع مندوبي EA Help بالموافقة على تغيير البريد الإلكتروني المرتبط بالحسابات وحتى إرسال البريد الإلكتروني الحالي المرتبط بالحساب، فقط من خلال ذكر اسم Gamertag أو PSN ID، دون أن يتم اتخاذ أي إجراءات إضافية للتحقق!

وبالفعل رأينا العديد من لاعبي فيفا 22 الأسبوع الماضي يقومون بمشاركة لقطات لشاشة لـ صندوق البريد الإلكتروني الخاص بهم على المنصات الاجتماعية المختلفة، والتي تكشف تلقيهم مئات الرسائل من EA Help تطلب منهم التحقق من هويتهم، لأنه بمجرد حصول المخترقين على Gamertag وPSN ID الخاص بـ الشخص الذي يريدون اختراقه، فإنهم يرسلون بريدًا عشوائيًا بالطريقة المذكورة أعلاه على أمل الاستفادة من ثغرة EA التي تتمثل في عدم اتباع بروتوكولات الأمان الصحيحة. بمجرد قيامهم بذلك، فإنهم يدخلون إلى الحساب ويمكنهم تجريد نادي FUT الخاص باللاعب من العملات المعدنية واللاعبين.

في هذه المرحلة، يمكن للمخترق رؤية معلومات شخصية حساسة. لذلك، حتى إذا استعاد المالك الأصلي للحساب السيطرة، فقد تم معرفة هذه المعلومات بالفعل ويمكنه استخدامها لاختراق الحساب مرة أخرى في وقت لاحق.

رد فعل EA

أصدرت EA بيانًا صباح الجمعة يؤكد أن الشركة تحقق في تلك الاختراقات، لكن مجتمع FIFA شعر في النهاية بخيبة أمل من الاستجابة.

ومن السهل معرفة سبب غضب مجتمع لاعبي فيفا من رد فعل الشركة، نظرًا لأن هذا موقف مُشين للغاية، ولم تكن استجابة الشركة جيدة بما فيه الكفاية. لقد أحبطت تلك الأحداث اللاعبين المتضررين تمامًا، وهم الذين أنفقوا مبلغًا كبيرًا من المال على شراء اللعبة، وربما على عمليات الشراء داخل اللعبة أيضًا، مع تعرض معلوماتهم وحساباتهم الشخصية للاختراق.

المشكلة الكبرى تتمثل في مدى سذاجة الحيلة المستخدمة من أجل تنفيذ عملية الاختراق، لا يمكن تخيل أن الهاكرز قاموا بذلك عن طريق إقناع مندوبي EA Help بالموافقة على تغيير حسابات البريد الإلكتروني المرتبطة بحسابات EA فقط من خلال ذكر اسم Gamertag أو مُعرف PSN، دون اتخاذ أي إجراءات تحقق إضافية، أو حتى التأكد من صحة البريد الإلكتروني المرتبط بالحساب.

لوحات المتصدرين داخل اللعبة في FIFA 22 Ultimate Team، والتي تُظهر من هم التجار الأكثر نجاحًا، أصبحت الآن بشكل أساسي شهادات نجاح للهاكرز، الذين يحتاجون فقط إلى Gamertag أو معرف PSN الخاص باللاعب لمحاولة اختراق الحسابات. ومع كل يوم يمر دون حل هذه المشكلة، يتعرض المزيد والمزيد من اللاعبين لخطر الكشف عن معلوماتهم من قبل المتسللين، تحتاج EA إلى جعل هذه المشكلة أولوية قصوى، لحماية بيانات وحسابات لاعبيهم.

من الجيد أن تؤكد شركة EA أن هناك تحقيقًا جارٍ في هذه المشكلة، ولكن يجب إدخال تدابير أمنية إضافية في أقرب وقت ممكن. على سبيل المثال، يجب إزالة خيار إمكانية بدء مستخدم ما لمحادثة مباشرة مع EA Help دون تسجيل الدخول. وبهذه الطريقة، يمكن للمصادقة الثنائية حماية حسابات اللاعبين.

الكشف عن سبب قرصنة بعض حسابات FIFA 22

أصدرت EA الثلاثاء بيانًا رسميا فيما يتعلق بفضيحة القرصنة في FIFA 22، وذكرت أيضًا بالتفصيل الخطوات التي يتم اتخاذها لتحسين مستويات الأمان والخصوصية.

اعتذرت EA بصفة رسمية للاعبين، وقدمت أيضًا تفاصيل حول كيفية اتخاذ خطوات لمنع حدوث ذلك في المستقبل.

“على مدار الأسابيع القليلة الماضية، علمنا بالتقارير التي تفيد بأن حسابات اللاعبين البارزين قد تم اختراق بعضها” EA Sports على موقعها الرسمي على الإنترنت.

من خلال تحقيقنا الأولي، يمكننا تأكيد تعرض عدد من الحسابات للاختراق عبر تقنيات التصيد الاحتيالي.

بيان EA

كشفت EA السبب الحقيقي لتلك الاختراقات كذلك حيث أفادت أنه “باستخدام بعض وأساليب الهندسة الاجتماعية “، تمكن ذوي النوايا السيئة من استغلال الخطأ البشري من فريق خدمة العملاء وقاموا بتجاوز المصادقة الثنائية للوصول إلى حسابات اللاعبين الآخرين.

أكدت الشركة أن الحسابات المخترقة تتخطى الـ 50 حسابًا وأنها تعمل في الوقت الحالي من أجل تحديد المُلاك الشرعيين لتلك الحسابات وإعادتها إليهم في أقرب وقت ممكن.

استجابة حقيقية ولكن بعد حدوث الضرر!

اتخذت EA الإجراءات التالية لزيادة الضمانات الإدارية والفنية لحسابات اللاعبين في FIFA 22:

• تلقى جميع مندوبي EA والأفراد الذين يساعدون في خدمة حسابات EA إعادة تدريب فردية وتدريبًا إضافيًا داخل فريق، مع التركيز بشكل خاص على استخدام البروتوكول الأمني للتحقق من الحسابات وأخذ الحذر والحيطة من تقنيات التصيد الاحتيالي المستخدمة في هذه الحالة بالذات.
• تنفيذ خطوات إضافية لعملية التحقق من ملكية الحساب، مثل الموافقة الإلزامية لجميع طلبات تغيير البريد الإلكتروني.
• تحديث وتطوير نظام خدمة العملاء من أجل ملاحظة أي محاولة احتيال فوريًا، ووضع علامة على الحسابات المعرضة للخطر، وتقليل أي احتمالية لحدوث خطأ بشري في عملية تحديث بيانات الحساب.

أفادت الشركة كذلك أن تلك الإجراءات الجديدة من شأنها أن تؤثر بعض الشيء على سرعة استجابة خدمة العملاء للاعبين ولكن ربما يتم غفران ذلك بضمان عدم تكرار تلك المشكلة الساذجة مرة أخرى.