Path of Exile 2 geliştiricileri, saldırıya uğramış bir yönetici hesabının, bir tehdit aktörünün şifreyi değiştirmesine ve en az 66 hesaba erişmesine izin verdiğini doğruladı ve son olarak PoE 2 hesaplarının Kasım ayından bu yana nasıl ihlal edildiğini açıkladı.
İhlal edilen yönetici hesabı, tehdit aktörlerinin diğer hesapların şifrelerini değiştirmesine olanak tanıdı; birçoğu, edinilmesi yüzlerce saat süren değerli öğeler de dahil olmak üzere oyun içi satın alımlarını kaybetti.
Ancak günlük tutmadaki zaman sınırı, olayın tüm kapsamının belirlenmesini engelliyor; bu da potansiyel olarak ihlalde daha fazla hesabın ele geçirildiği anlamına geliyor.
Path of Exile 2 (PoE), Grinding Gear Games tarafından yayınlanan son derece popüler bir tek oyunculu ve ortaklaşa aksiyon rol yapma oyunudur. Oldukça beğenilen ‘karanlık fantazi’ oynaması ücretsiz Path of Exile oyununun devamı niteliğindedir.
Şu anda erken erişimde olmasına rağmen oyun, on binlerce oyuncudan oluşan özel bir topluluk oluşturduğu Steam’de çok olumlu eleştiriler alıyor ve çok daha fazlası büyük bir beklentiyle son sürümünü bekliyor.
PoE 2 oyuncuları, oyunun forumlarında, hem Steam’in hem de bağımsız PoE hesaplarının iki faktörlü kimlik doğrulama kodu talebini tetiklemeden ihlal edildiğini belirten bir dizi hesap hackleme olayı bildiriyor.
Bu hacklerin kurbanı olan kişiler kendilerini aniden oyundan ve Steam’den çıkış yapmış halde buldular.
Steam Destek’in yardımıyla tekrar erişim sağladıklarında, bilgisayar korsanlarının Divine Orb’lar ve oyun sonu teçhizatı gibi değerli eşyalar da dahil olmak üzere tüm oyun içi eşyaları çaldığını fark ettiler.
Etkilenen oyuncuların forum gönderilerine göre PoE desteği, onlara geri almanın ve çalınan eşyaların onarılmasının imkansız olduğunu, dolayısıyla hasarın geri döndürülemez olduğunu söyledi.
Eski bir Steam hesabı üzerinden saldırıya uğradı
İlk olarak 404 Media tarafından bildirildiği üzere Path of Exile 2 oyun direktörü Jonathan Rogers, dün GhazzyTV’nin Tavern Talk podcast’ine verdiği röportajda hacklemenin yönetici hesaplarından birine bağlı eski bir Steam hesabı aracılığıyla gerçekleştiğini doğruladı.
Saldırganlar, Steam Desteği kimlik bilgilerini sıfırlamaya ve hesabın kontrolünü ele geçirmeye ikna etmek için kredi kartı bilgilerinin son dört rakamı gibi kısmi ayrıntıları kullandı.
Bu, saldırganların PoE 2 yönetici hesabına erişmesine ve diğer oyuncuların hesaplarına erişmesine olanak tanıdı.
Geliştiriciler tarafından doğrulanmasa da Path of Exile 2 yönetim panelinin ekran görüntüsü, oyuncuların şifrelerini değiştirmek için kullanıldığına inanılan Reddit gibi sitelerde paylaşıldı.
Kaynak: Reddit
Daha da kötüsü, Path of Exile 2 hesap şifresi değiştirildiğinde, değişikliği düzenlenemeyen bir denetim girişi olarak kaydetmek yerine, bunu düzenlenebilir bir not olarak kaydetti.
“Aslında bir hesapta yeni şifre belirleme olayının bir denetim olayı yerine yanlışlıkla not olarak etiketlenmesine neden olan bir hata vardı.” Rogers röportajda şunu söyledi.
“Bunun anlamı, notların müşteri hizmetleri gibi insanların hesaplarına ekleyebileceği ve onları düzenleyip silebilecek şeyler olduğuydu. Yani, not olan şifre değiştirme olayı, bir müşteri hizmetleri görevlisi tarafından yanlışlıkla silinebilirdi. hiç kimsenin değiştiremeyeceği bir şekilde kalıcı olarak orada olmaktan ziyade çok benziyorum.”
“Yani bu, bir hesap almayı başaran kişinin, rastgele bir şifre göndererek ve ardından düğümü silerek hesapların güvenliğini ihlal ettiği anlamına geliyordu.”
Geliştiriciler, etkilenen hesapları bulmak için günlükleri analiz ederken, şirketin günlük saklama politikası nedeniyle daha da engelleniyorlar; bu da yönetici hesabının ele geçirildiği sırada bazı günlüklerin silinmesine neden oluyor.
Rogers şöyle devam etti: “Kasım ayında kayıtlarımızın olmadığı beş gün vardı ve bu noktadan sonra notları silinen 66 hesap vardı.”
Geliştiriciler, oyunun arka ucundaki saldırıları engelleyebilecek hataları ve güvenlik açıklarını kabul ederek “burayı tamamen batırdık” dedi.
Grinding Gear Games, oyuncularına, olay sonrasında Steam hesaplarını idari hesaplara bağlama özelliğinin kaldırılması da dahil olmak üzere çeşitli güvenlik önlemlerinin alındığına dair güvence verdi.
Ancak etkilenen hesaplar için Grinding Gear oyunları bu oyunculara tazminat ödemeye yönelik herhangi bir plan açıklamadı. Bunun yerine çalınan eşyaları geri getirmenin bir yolu olmadığını söylemek.