E-poster og krypterte passord til Albion Online-forumbrukere ble stjålet

Albion Online, et relativt populært online massivt multiplayer online RPG, led et datainnbrudd i slutten av oktober. Sandbox Interactive, spillets tyske utvikler, kunngjorde bruddet den 17. oktober. Spillets utvikler informerte alle berørte brukere via e-post samt et foruminnlegg.

Den dårlige skuespilleren som var involvert i angrepet klarte å få tilgang til profilene til Albion-forumbrukere, som inkluderte brukernes e-postmeldinger som ble brukt i forumregistreringen. Hackerne fikk også tak i passord som heldigvis ble haset og saltet. Passordstrengene ble kryptert ved hjelp av Bcrypt og videre saltet ved hjelp av tilfeldighet for å gjøre dekryptering vanskeligere.

Albions utvikler uttalte at de stjålne passordene ikke kan brukes til å logge på verken spillets klient eller forumet. Det eneste potensielle problemet Sandbox ser med passordhentingen er at dataene kan utnyttes for å vise brukere som brukte passord som er veldig svake. Åpenbart, hvis et passord ble gjenbrukt for både forumregistreringen og spillets klientinnlogging, er det en veldig alvorlig risiko for kontoovertakelse.

Sårbarhet i programvare for programvare korrigert etter brudd

Sandbox Interactive uttalte at angrepet misbrukte en sårbarhet i forumprogramvaren de bruker for Albion, kalt WoltLab Suite. Sikkerhetshullet har siden blitt lappet av WoltLabs utvikler.

Den dårlige skuespilleren trodde at han var ansvarlig for angrepet hadde lagt ut en annonse på et hackerforum med forsøk på å selge påståtte data, inkludert dumping av betalingsdatabaser, men innlegget er siden fjernet. Gitt informasjonen gitt av Albions utviklere, er det veldig sannsynlig at innlegget var et forsøk på å overdrive den dårlige skuespillerens prestasjoner og bounty.

Albion er et gratis spill, som nesten alltid betyr et stort publikum. Selskapets egne tall viser over 2,5 millioner spillere på tvers av Windows, Mac, Linux og mobile enheter. Det brutte forumet har nesten 300 tusen brukere.