数千万人使用的在线游戏服务中的漏洞现已得到修复，可以让一些最受欢迎的视频游戏可以让攻击者获取个人信息并控制账户。

Electronic Arts(EA)Origin平台是该公司开发的众多知名游戏的所在地，包括Apex Legends，Battlefield，FIFA，Madden等。Origin是玩家购买和管理游戏的地方，也是提供用户可以管理帐户的个人信息和付款细节的门户。

但来自以色列网络安全公司Check Point和Cyber​​Int的研究人员发现攻击者可能通过一系列“漏洞”访问系统，这些漏洞利用EA Games结合oAuth单点登录(SSO)和信任使用身份验证令牌登录过程中内置的身份验证机制。

该安全公司表示，EA关闭的漏洞可能让威胁演员劫持了一名玩家的会话，从而导致帐户妥协和接管。Check Point表示，该漏洞可能使攻击者能够访问用户的信用卡信息，并能够代表用户以欺诈手段购买游戏内货币。

EA平台中发现的漏洞同样不需要用户交付任何登录详细信息。

“我们看到的是在错误配置的云环境中存在差距。所以我们添加的是EA正式终止的子域名，但在应用程序级别，子域级别仍然存在，”产品漏洞研究负责人Oded Vanunu对于Check Point，告诉ZDNet。

“我们可以在Azure上打开一个实例并将其命名为相同的名称，应用程序仍然会调用该域。我们已经确定了这些域中的Javascript，我们使用它们来操纵威胁，”他补充道。

一旦建立了这个域，研究人员就检查了Origin的单点登录机制，发现它用一个唯一的密钥交换用户的登录凭证，该密钥对EA网络进行身份验证，而无需重新输入详细信息。

通过将此与EA实施信任机制的方式相结合，研究人员发现可以通过被劫持的子域将用户重定向到登录。这可以通过网络钓鱼攻击来实现，恶意攻击者可以使用Origin自己的通信平台或其他聊天应用程序来欺骗用户点击链接。

通过这样做，攻击者可以直接访问该帐户，并能够访问其中的所有个人数据 - 包括真实姓名，出生日期和访问支付信息。该帐户本身甚至可以出售 - 原始用户被锁定。

“游戏商品在暗网中的官方和非官方市场进行交易，这使得对游戏工作室的攻击非常有利可图，”Cyber​​Int Technologies联合创始人兼策略高级副总裁Itay Yanovski表示。

Check Point和Cyber​​Int向EA披露了漏洞，该公司已部署了一个更新来修复该问题，以便在用户被攻击之前保护用户免受攻击。

“由于Cyber​​Int和Check Point的报告，我们采用了产品安全响应流程来修复报告的问题，”Electronic Arts游戏和平台安全高级主管Adrian Stone说。