Un bug dans Xbox Live permettait aux pirates de trouver tout e-mail associé à un gamertag enregistré.
Le site utilisé pour signaler les mauvais comportements de la communauté en ligne Xbox cachait une vulnérabilité qui permettait aux pirates de récupérer les adresses e-mail des utilisateurs.
Carte mère signalée que la semaine dernière, un pirate informatique anonyme les a contactés, affirmant être en mesure de trouver l’e-mail joint à n’importe quel gamertag Xbox.
Motherboard a vérifié les affirmations du pirate informatique en leur envoyant deux gamertags, dont l’un a été créé spécifiquement pour ce test.
En quelques secondes, le pirate a renvoyé les adresses e-mail avec lesquelles ces balises étaient enregistrées.
Normalement, ces adresses e-mail sont censées être privées.
Un autre pirate informatique anonyme a déclaré à Motherboard que le bug pouvait être trouvé dans le Portail d’application Xbox Live.
Cette page permet aux joueurs de contacter l’équipe Microsoft qui surveille les communautés en ligne Xbox.
Malgré la menace apparente pour la sécurité des clients, la réponse initiale de Microsoft à cette faille de sécurité n’était pas vraiment urgente.
Dans une réponse par e-mail au rapport de bug de la carte mère, le Centre de réponse de sécurité Microsoft « MSRC en abrégé » a déclaré: « Un e-mail peut être considéré comme une information sensible, cependant, puisqu’il ne fournit rien d’autre pour identifier l’émetteur, ce n’est pas quelque chose qui répond à la barre MSRC pour En tant que tel, MSRC ne suit pas le problème et laissera au groupe de produits le soin de déterminer une atténuation si nécessaire. «
Mais mardi, un porte-parole de Microsoft a confirmé avoir « publié une mise à jour pour aider à protéger les clients ».
L’un des pirates anonymes qui ont contacté Motherboard a spécifiquement demandé que les rapports sur la fuite ne soient publiés qu’après qu’un correctif ait été fait, car c’était « la vulnérabilité la plus simple que j’ai jamais trouvée ».
Il est important de s’assurer que de telles précautions sont prises, même avec des informations qui ne sont pas extrêmement délicates comme les adresses e-mail.
Les pirates informatiques ont un précédent d’utilisation de ce type de vulnérabilités pour les personnes dox, comme en 2017 lorsqu’ils ont utilisé un bug similaire sur Instagram et créé une base de données consultable pour les célébrités dox.
