Исследователи безопасности из WizCased обнаружили незащищенный сервер ElasticSearch, принадлежащий AMT Games, на котором открывались профили пользователей, транзакции и сообщения обратной связи

Исследователи обнаружили, что данные, хранящиеся на сервере ElasticSearch, не были зашифрованы и сервер не был защищен паролем, хотя AMT Games использовала сервер для хранения информации профиля, истории платежей и сообщений обратной связи миллионов игроков Battle for the Galaxy.

AMT Games Ltd. – китайский разработчик популярных мобильных и браузерных онлайн-игр, разрабатывающий игровые приложения для Android, iPhone, Steam и веб-браузеров. Некоторые из популярных игр, разработанных компанией, включают Battle for the Galaxy, Heroes of War: WW2 Idle RPG, Epic War TD2 и Trench Assault.

По словам исследователей, незащищенный сервер ElasticSearch содержал 5,9 миллиона профилей игроков, 2 миллиона транзакций, 587000 сообщений обратной связи и данные транзакций, такие как цена, приобретенный предмет, время покупки, поставщик платежа и в некоторых случаях IP-адрес покупателя.

Также было обнаружено, что на сервере хранятся данные профилей игроков, такие как идентификаторы игроков, имена пользователей, страна, общая сумма денег, потраченных на игру, а также данные учетных записей Facebook, Apple и Google, если пользователь связал любую учетную запись со своей игровой учетной записью. Раскрытые данные, если к ним обращаются злоумышленники, могут позволить им проводить целевые фишинговые кампании, нацеленные на онлайн-геймеров, и заставлять их делиться информацией о своих кредитных картах.

?Адреса электронной почты и конкретные детали проблем пользователей с сервисом, такие как транзакции и сообщения разработчиков, могут позволить злоумышленникам выдать себя за поддержку игры и направлять пользователей на вредоносные веб-сайты, где данные их кредитных карт могут быть украдены?, – предупреждает WizCase.

?Имея данные о том, сколько денег было потрачено на одну учетную запись, эти мошенники могут ориентироваться на самых высокооплачиваемых пользователей, многие из которых являются детьми, судя по их истории игр, времени, проведенному в игре, кругу друзей в игре и т. д., и имеют шанс на успех даже выше, чем в противном случае. С помощью этих писем конкурирующие игры могут пытаться перенести или настроить таргетинг на пользователей с помощью рекламных и электронных писем?.

Комментируя раскрытие еще одной компании, хранящей огромные объемы данных в незащищенной базе данных, Тим Макки, главный стратег по безопасности Synopsys CyRC, сказал, что с распространением неправильно настроенных баз данных ясно, что некоторым командам не хватает возможности подтвердить, что они используют безопасную конфигурацию для своих производственных систем. Существует ряд возможных решений, но одним из самых простых является определение модели обновления на основе исключений для параметров конфигурации.

?В рамках этой модели выполняется проверка данных конфигурации на уровне аудита для создания набора утвержденных параметров конфигурации и файлов. Любое обновление этих ранее утвержденных параметров требует проверки изменений на том же уровне аудита, а текущая конфигурация всегда проверяется на соответствие утвержденным параметрам.

?Хотя существует ряд технологий, которые можно использовать для реализации обновлений на основе исключений, это тот случай, когда четко определенный процесс с автоматическими проверками намного более ценен, чем технология, реализующая этот процесс?, – добавил он.

По словам Тревора Моргана, менеджера по продукту comforte AG, онлайн-геймерам следует проявлять осторожность при обмене своими личными данными с разработчиками игр, поскольку любое нарушение, кибератака или утечка данных могут привести к тому, что их данные попадут в руки злоумышленников.

?Связи, которые устанавливают пользователи – часто с использованием учетных данных своих учетных записей в социальных сетях для создания игровых учетных записей и профилей – собирают гораздо больший объем полезной информации для злоумышленников, позволяя ориентироваться на пользователей, которые тратят большие суммы денег на игру. Геймерам необходимо знать, какие типы данных они передают игре напрямую или через привязку учетных записей, и им необходимо привлекать разработчиков игр и хостинговые компании к ответственности за их защиту.

?С другой стороны, игровые организации должны более серьезно относиться к конфиденциальности данных, встраивая в свои инфраструктуры данных больше, чем просто минимальный уровень безопасности. Учитывая, что они собирают потенциально ценные данные от пользователей, их стратегия должна быть ориентирована на данные и предполагать, что злоумышленники могут попытаться добраться до этого кэша информации?, – говорит он.

Роуд-шоу SiGMA: Следующая остановка – Германия

Присоединяйтесь к нашей увлекательной двухчасовой виртуальной конференции, наполненной содержательной информацией о новых возможностях для бизнеса. Эти уникальные интерактивные виртуальные мини-конференции будут проходить в разных странах каждый месяц. Следующая остановка – Германия, присоединяйтесь к обсуждению. Мы рассмотрим различные темы, от локализации контента до тенденций в регулировании. Зарегистрируйтесь сейчас!