Il Steam gli sfuggì per un pelo. Consentendo ai suoi utenti di alimentare i propri portafogli digitali, il servizio ha inconsapevolmente aperto una violazione della sicurezza che avrebbe potuto costargli caro . Infatti, come riporta l’utente drbrix su HackerOne , una vulnerabilità in termini di aggiunta di fondi ti consente di mettere tutti i soldi che vuoi nel tuo portafoglio . “Penso che l’impatto sia abbastanza ovvio, un hacker può generare denaro e distruggere il mercato di Steam, vendere chiavi di gioco a basso costo, ecc. » , commenta.
Per fare ciò, drbrix spiega che devi iniziare cambiando l’indirizzo email associato al tuo account Steam aggiungendo la sequenza di caratteri “amount100” . Questa semplice manipolazione ti permette poi di modificare l’importo che vuoi importare nel tuo portafoglio, senza dover pagare più di un euro . Per fare ciò, devi intercettare la richiesta POST che si verifica dopo un pagamento utilizzando il metodo Smart2Pay. È sufficiente un semplice URL per modificare la quantità che si desidera avere.
CON 1 EURO POTEVI COMPRARE TUTTI I GIOCHI CHE VOLEVI SU STEAM
Steam non ha aspettato molto per implementare una soluzione. Quest’ultimo si è verificato lo stesso giorno in cui drbrix ha pubblicato il rapporto . “Grazie per questo rapporto” , ha risposto rapidamente l’azienda. “Era chiaramente scritto e identificava un vero rischio aziendale. Abbiamo cambiato il livello di gravità in Critico, riflettendo il costo potenziale per l’azienda, e abbiamo applicato un premio di conseguenza. Speriamo di sentire di più da voi in futuro”.
Come ricompensa, Valve ha pagato drbrix $ 7.500 . Una cifra che può sembrare un po’ piccola vista l’entità dei rischi causati dal difetto, che anche l’editore ha fatto notare. Nonostante tutto, l’utente non si è lamentato e si è detto grato.
