Om gebruikersaccounts van Fortnite-spelers over te nemen, hoefde een gebruiker alleen maar op een link te klikken die leidde naar het eeuwenoude ut2004stats.epicgames.com-domein. Via dat domein kon en cross-site-scripting-aanval uitgevoerd worden. Na het klikken op de link, werden de Fortnite gebruikersnaam en wachtwoord doorgestuurd.
De oude site bleek vatbaar voor een sql-injection-aanval en was daarmee gemakkelijk te hacken. De benodigde payload had slechts 'redirectUrl', 'client_id' en 'prodectName' nodig. Op die manier kon iedereen die verleid kon worden op een *.epcigames.com-link te klikken, zijn gebruikersnaam en wachtwoord gestolen zien worden.
Hoe houdt u alle oude servers en mogelijke aanvalsvectoren in de gaten?
Om te kunnen beoordelen moet u ingelogd zijn: