Steam に脆弱性があり、簡単にアカウントの乗っ取りが可能だった

今日（27日）は長時間 Steam にアクセスできなかったのですが、その理由は Steam アカウントの乗っ取りへの対応が原因だったようです。現在では乗っ取りへの対応が終わり、影響を受けたアカウントはパスワードがリセットされ、Steam からメールが送られているようです。

Dota2 のプロプレイヤーもアカウントが乗っ取られたとのこと。7月の中旬あたりからアカウントの乗っ取りが報告されていたようです。

さて、乗っ取りの手法はどういうものだったのでしょう？ こちらの動画が分かり易いです。

簡単に言うと、まずはアカウント名とパスワード忘れちゃったというサポートページで、テキトーにアカウント名を入力します。アカウント名が当たれば、登録時のメールにリカバリーに使うコードを送ったからそれを入力してねと表示されます。

ここで何も入力せずに次に進めば OK。簡単ですね！ その後アカウントに新しいパスワードを設定すればそのアカウントは乗っ取り完了です。空白にしておくとそのまま通過してしまうという恐ろしく低レベルな設計ミスです。

さらに悪いことに、今回の出来事を Steam/Valve は公式サイトに載せておりません。いつもそうなのですが、Valve はミスがあった場合にサイト上で報告しません。

現在 Valve からのメッセージは Kotaku にしかありません。Steam はなかなか信頼できません。

Some Steam Accounts Hijacked Following Security Lapse

[Valve からのメッセージ]

To protect users, we are resetting passwords on accounts with suspicious password changes during that period or may have otherwise been affected. Relevant users will receive an email with a new password. Once that email is received, it is recommended that users login to their account via the Steam client and set a new password.

Please note that while an account password was potentially modified during this period the password itself was not revealed. Also, if Steam Guard was enabled, the account was protected from unauthorized logins even if the password was modified.

We apologize for any inconvenience.

Steam Guard を使っている人はこの方法で乗っ取られたとしても、ログイン時にメールで送られたコードが必要なため、侵入はそこまでで防げたようです。