[新聞] 盜取 EA 原始碼這麼簡單？駭客：入侵

[Clarkliu (noname)]

盜取 EA 原始碼這麼簡單？駭客：入侵 Slack 聊天室然後直接要密碼就行

https://technews.tw/2021/06/15/ea-slack/

EA 美商藝電日前遭駭客入侵，竊取約 780GB 遊戲原始碼資料，如《FIFA 21》、
Frostbite 引擎（不僅 EA 旗下足球／美式足球系列遊戲採用，而且也應用在《戰地風雲
》系列），且這些資料已在地下論壇流傳。諷刺的是這起事件始作俑者竟是「EA」本身，
因 EA 親自把登入權限交給駭客。


科技新聞網站 Motherboard 採訪參與此次事件的駭客，聲稱他們只用很簡單的「詐騙」
手法，就輕易得到 EA 內部網路權限；而非如外界想像，一路突破重重關卡，破解 EA 安
全機制後才盜取資料。

駭客解釋，首先他們先在網路花 10 美元買被盜用的 Cookie，因 Cookies 保存特定使用
者的登錄資訊，讓駭客可冒充他人身份登入。駭客利用被盜的 Cookie，獲得 EA 使用的
 Slack 頻道許可權，並進入 EA 的 Slack。

駭客說明，一旦進入 EA Slack 聊天室後，便向 IT 部門其中一位成員發送訊息，聲稱「
我」在聚會遺失手機，成功騙到 IT 部門重新發給他的 EA 內網登入認證。駭客透露，他
們利用這種簡單的「詐騙」方式，成功騙到兩次認證。

登入 EA 內部網路後，駭客便發現為 EA 開發人員編譯遊戲程式的服務，於是便在上面創
建虛擬機器，使他們對 EA 內部網路有更多瞭解。之後駭客不僅「瀏覽」許多 EA 內網服
務，同時還「盡其所能」下載遊戲原始程式碼。

報導指出，接受採訪的駭客最後還提供螢幕截圖，證實受訪內容像是 Slack 聊天紀錄等
；EA 隨後也證實駭客對入侵事件的描述。

--

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.41.151.167 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1623837524.A.C78.html
→ r85270607: 有差嗎  EA不都賣你外觀 抽抽 跟服務型遊戲
推 chadmu: 爛公司不意外
→ storyo11413: 有夠廢
推 devilkool: Slack原來這麼好被盜喔
推 llabc1000: 看起來比較接近詐騙而不是駭客
推 hinanaitenco: 社會工程
→ winda6627: 駭客：結果發現EA沒什麼有料的內容，只有(RY。
推 a05150707: 這種也算駭客行為阿 社交工程
→ spfy: 有種專有名詞社交工程攻擊
→ a05150707: 使用一切能使用的漏洞來騙取權限 包含騙人 猜密碼
推 Vedfolnir: オレオレ詐欺
推 a25785885: 遊戲原始碼沒什麼用吧？只是想自抬身價而已
推 lturtsamuel: 可憐IT要回家吃自己惹
推 allanbrook: 這樣還算駭嗎
→ spfy: 第一次看到這名詞還以為是唬爛 後來才知道不但真的還很常用
推 r85270607: 有點忘記專門定義了
推 Bencrie: 社交工程無敵
→ r85270607: 社交工程概念就是從你個人背景方面下手
推 jeeyi345: 笑了
推 amsmsk: slack XDDD
→ allanbrook: 這好過分 雖然也是他們不夠謹慎啦XD
→ r85270607: 例如密碼猜測是生日或電話號碼
→ jeeyi345: 麥克偷換iPhone的任務是真的
推 xxoooxx34567: 結果code看到一半發現要買DLC
推 a05150707: 釣魚信說你中iphone這種也有社交工程的概念
推 tonyy801101: 原始碼跟作品著作一樣重要的
推 Fallere: IT是要教員工防類似招數的那邊欸，自己中招是怎樣
推 chuckni: EA XDDDDDD
推 storyo11413: 社交工程一直都算阿 太基本了
→ lolic: wwwwwwwwwwww
推 LOVEMS: 一般來說不是要寄回原公司信箱嗎？
推 Wolfclaw: 社交工程=最大的資安漏洞是人
→ Clarkliu: 他們買cookie回來用 也算駭客啦
推 knight45683: EA...
推 Porops: 社交工程一直以來都是常見駭客手段之一，畢竟人才是最難防
→ Porops: 的
推 AirForce00: 記得當年gta5剛推出沒多久，就有人模仿麥可的手段，
→ AirForce00: 成功入侵遊戲公司。那時還上了新聞
推 f1426871: 24樓笑死
推 aCCQ: XDDD
推 bobby4755: 在上班的人真的不會想那麼多 XD
推 tyifgee: 假冒身分騙 很會
→ LOVEMS: IT通常會與人方便 我覺得這個真的比較沒辦法
→ leamaSTC: 結果駭完後發現好像沒啥好爆料的 還不如駭卡普空
推 potential208: 駭客本來就是由這種手法起家的
推 gary82gary: 釣魚信釣魚網站都算社交工程，slack那段應該不只買Coo
→ gary82gary: kie那麼簡單，方法有所保留
推 ryanmulee: 盜了發現要花4.99美元解鎖
推 DJYOSHITAKA: 幹 碩班實驗室就用slack 想到就頭痛
推 tmwolf: it人員鬆的跟什麼一樣
推 iamnotgm: 搞這塊的人都介於鬆和嚴的不連續狀態阿 為了防止外洩
→ blackone979: 這個問題點在Cookie怎麼流出去的 跟防火牆建構沒關
推 a1919979: 我一直在思考一件事 刻意釋放乳滑言論能不能達到用社交
→ a1919979: 工程的方式反外掛跟防盜版的效果
→ iamnotgm: 要嚴 可是你嚴了管制多了其他部門的人全部都在幹譙你
推 aaaaooo: 那個被冒用身分的人應該挺慘
→ blackone979: 那個SLACK本來就只有社內人員能進去 如果你還要懷疑
→ blackone979: 每個人是真是假 事情都不用做了
推 coolboy16: 因為這個事件我們公司最近才用詐騙連結測試員工XD....
→ coolboy16: 結果大概有將近10%會中招 大部分因素都是信很多，想趕
→ coolboy16: 快把CASE解決所以沒有防範之心
→ horseorange: 有Cookie就能登進去是真的假的?
推 runedcross: 社交工程本來就占不小的比例
推 streakray: 詐騙無敵
推 smart0eddie: 這個要怎麼防騙啊
推 LOVEMS: 就需要認證或帳密的東西寄公司信箱 公司信箱也進不去就麻
→ LOVEMS: 煩回公司一趟 大概只能這樣
推 a05150707: 多幾個確認的手續吧 拍工作證或是電話核對資料啥的
推 KYLAT: 駭客：等等，為什麼每一款FIFA系列作的原始碼全部都一樣啊
→ KYLAT: ？
推 googlexxxx: 人家還花了10元耶
→ poz93: 等級低駭客 花時間破解密碼 等級高駭客 和知道密碼的人要
推 naya7415963: 原來公司播的資安廣告都是真的...
→ spfy: 前面推文有人提到啦 實際應該沒這麼簡單 只是說個大概而已
→ fragmentwing: 駭客解碼手段本來就有分兩種 一種是敲鍵盤另一種是
→ fragmentwing: 撿垃圾
推 knight831022: EA...
→ notneme159: 不意外
推 s12358972: 社交工程一直都是內部訓練最常見的r
→ s12358972: 另外難一點的社交工程就是自己做釣魚網站騙你的資料
推 wei115: 現代駭客誰在那邊跟你硬碰硬找漏洞，都馬社交工程騙密碼
推 ConSeR: 資安最大的問題永遠都是人啊，你就被騙怎麼防
推 qwe04687: 社交工程 最大漏洞是...
推 awenracious: 資安有夠差
推 Arctica: 那最早的cookie資訊怎麼盜來的XD
推 secret0409: 撿垃圾找員工email 在發常見的圖片木馬 電影都有教
→ jeeyi345: 駭客外包
→ j19871001: 最早的cookie是網路上買到的
推 splitline: 問題在Cookie怎麼可以買得到吧
推 k1k1832002: 駭客最重要的一門課真的是社交工程XDD
推 cheng31507: …..
推 lanstype: 駭客:我為什麼要駭ea 逛了一圈都是年貨 沒什麼好看(x
推 itoni: 畢竟整個安全系統中最弱的環節就是人嘛
推 Odaman: 這不就是認知作戰？
→ dark2012: 人永遠是最大漏洞