EAの7億件のアカウントを盗んだりBANしたり好き放題できる脆弱性を発見した方法をハッカーが解説

また、アカウントに設定される「BANNED」などのステータスも自由に書き換えることが可能でした。試しにケーラー氏が自身のアカウントを「BANNED」状態にすると下図の表示が出てゲームにアクセスできなくなりました。

さらにケーラー氏が調査を進めると、ペルソナとEAアカウントのリンク情報についても自由に変更できることが判明。ケーラー氏が自身のSteamアカウントをケーラー氏の友人のEAアカウントにリンクさせ、Steam経由でログインすることで友人のアカウントに不正にログインできるかを試したところ、「新しい場所からのログイン」としてメールでの認証が求められました。

ケーラー氏はXboxでゲームをプレイした際にメール認証を求められたことがないことを思い出し、自身のXboxペルソナをテスト用に作成したEAアカウントにリンクしてXboxでログインしてみると、メール認証を回避してログインすることに成功。下図では「TestVictim」というテスト用アカウントの名前が表示されていることが確認できます。

一度Xboxからログインすると、EAがその場所を信頼できる場所として認識するようで、ウェブでログインする際にもメール認証が求められなくなったとのこと。

今回の脆弱性を利用すると下記のような行為が可能になるとケーラー氏は述べました。

・他人のペルソナを別のアカウントにリンクすることでユーザー名とゲームデータを盗む。
・攻撃者のXboxペルソナを経由して任意のアカウントにログイン可能。
・他人のペルソナをBANNED状態にしてゲームプレイを不可能にさせる。
・他人のユーザー名を変更する。
・BANNED状態になったペルソナを別のアカウントに移動してBANを回避する。

なお、ケーラー氏は2024年6月16日にこの脆弱性をEAに報告しており、EAは5度のパッチを経て2024年10月8日に問題を修正したとのことです。