Steamウォレットの残高増殖バグにValveが対応、発見者に80万円の報奨金

PCゲームプラットフォーム・Steamで、ウォレットの残高を不正に増やすことができるバグが見つかりました。バグは発見者がSteamを運営するValveに連絡したことで速やかに対処され、発見者には7500ドル(約82万円)の報奨金が支払われました。

#1295844 Modify in-flight data to payment provider Smart2Pay
https://hackerone.com/reports/1295844

Steam security: Valve promptly resolves ‘unlimited funds’ gaming wallet cheat | The Daily Swig
https://portswigger.net/daily-swig/steam-security-valve-promptly-resolves-unlimited-funds-gaming-wallet-cheat

バグを報告したdrbrix氏によると、攻撃者が支払いに決済サービス「Smart2Pay」を用いて最低1ドルの少額支払いを行うと、Smart2Pay APIに対応したPOSTリクエストを傍受することで、実際に支払われた金額よりもはるかに多くの額に書き換えることが可能だったとのこと。このため、攻撃者は実質的にSteamウォレットの残高を不正に増やすことができる状態となっていました。

なお、この手法を実行するにあたっては、Steamアカウントのメールアドレスを「amount100」を含むものにすることが条件だったそうです。

drbrix氏はこのバグを2021年8月1日に非公開でValveに報告。Valveはただちに対応を行い、drbrix氏にはバグ発見の報奨金として7500ドル(約82万円)が支払われました。

Valveはセキュリティ関連ニュースサイト・The Daily Swigに対し、「バグ報告者のおかげで、顧客に影響を与えることなく問題解決のために決済プロバイダーと協力することができました」とコメントしています。