黑客可以随意访问EA公司7亿用户账号；

据Cyber News消息，游戏开发人员兼白帽 Sean Kahler 发现了一个影响 Electronic Arts （EA） 账户系统的漏洞，可以在未经授权的情况下访问任何EA用户账户（目前EA用户有大约7亿），包括游戏统计数据。

该漏洞最开始是由Kahler 在“某个游戏的可执行文件”中找到硬编码凭证后，在 EA 的开发人员测试环境中获得了特权访问令牌。在扫描了暴露的文档并四处探查后，Kahler 发现了一个带有暴露 API（应用程序编程接口）的内部服务，从而揭开了漏洞的面纱。EA 的内部 API 允许修改被称为 "角色 "的玩家配置文件。Kahler 最初将 EA 账户状态更改为“禁止”，从而阻止了用户登录游戏。该 API 还允许将 Steam 账户链接到另一个用户的 EA 账户。Kahler 意识到，既然可以将自己的链接账户转移到任何我想要的 EA 账户，那不就可以登录到该链接账户，从而登录到任何 EA 账户了吗？同样，通过使用 Xbox 账户并将其转移到他人的 EA 账户，可以使用控制台登录对方的游戏，如《战地 2042》，且不需要验证或密码。因此，黑客可以利用这一漏洞来窃取用户名和游戏数据，并通过将他们的 Xbox 角色移动到受害者的账户来登录其他人的账户。暴露的 API 允许更改用户名、禁止账户、阻止玩家访问游戏或在没有用户交互的情况下绕过禁令。Kahler 于 2024 年 6 月 16 日负责任地向 EA 披露了漏洞，对方确认了该漏洞并指定了严重性，并在7 月 7 日至 10 月 8 日期间陆续通过5个补丁修复了漏洞。

骗子用这种“黑盒子”伪装反诈设备，当心

“警察同志，我家最近被安装了一个奇怪的‘黑盒子’能麻烦你们过来看看吗？”近日，浙江金华市公安局金东分局东关派出所接到辖区陈大爷报警求助，称其家中被安装了设备。

接报后，民警王力立即带队前往陈大爷家“这就是那个小伙子给我安装的设备”。民警到达现场后，陈大爷指着电视机旁的一个“黑盒子”说道。

据陈大爷回忆，几天前，他接到一个陌生电话称，近期会有工作人员上门安装“反诈设备”，陈大爷没有在意，没过多久，便来了一名自称杭州某通信公司的小伙子。

“怎么不是金华的通信公司？”陈大爷心中起疑，小伙子解释说，杭州有位老年人被骗了700多万元，为了防止更多老年人受骗，公司这才派他过来上门安装“反诈设备”。陈大爷相信了他的说辞，结果没过几天，家里的固定电话就被封了，于是就有了开头的一幕。

民警仔细查看后，发现这并不是所谓的“反诈设备”，而是一款电信网络诈骗设备，诈骗分子可通过它将境外诈骗电话转成国内号码进行诈骗。

得知真相后，陈大爷震惊不已，“以后遇到陌生男子上门千万记得核实清楚，遇到困难可以联系家庭警察”。随后在民警的帮助下陈大爷添加了“家庭警察”的微信，“黑盒子”也被警方依法收缴。

通过调阅陈大爷家周边监控，民警迅速锁定了犯罪嫌疑人，并在一家宾馆内，成功抓获嫌疑人方某及其同伙，现场缴获若干台非法设备。

面对警方的讯问，两名犯罪嫌疑人交代，当初偶然在传单上看到这份“工作”，在丰厚报酬的“诱惑”下沦为犯罪帮凶。

目前，两名犯罪嫌疑人已被公安机关依法刑事拘留。

此前北京、上海、青岛、绵阳等多地均出现诈骗团伙以到家中维修宽带网络为名安装"黑盒子"，警方也多次发出提醒。

据四川绵阳网警消息：6月13日，绵阳网安部门曾抓获2人，二人如实供述了冒充通信公司工作人员，一起到绵阳某镇安装VOIP设备提供给境外诈骗团伙拨打诈骗电话，合计获利800元的违法行为。二人已被四川绵阳公安机关依法行政处罚。

很多人可能听说过GOIP，这怎么又冒出来一个VOIP？

其实二者大同小异，都是基于IP的语音传输转换，简单说就是制造一层羊皮，给不法分子的境外来电披上一层外衣。

GOIP是利用手机卡接入电话网络，来电显示的就是手机号码；VOIP是利用固定电话线路接入电话网络，来电显示的就是固话号码。

远在国外的诈骗分子进行远程拨号，经过VOIP设备一转换，被害人手机上的来电显示就是国内的固话号码，大大降低了被害人的防范心理。

警方提醒

老年人由于信息获取渠道有限，防范意识相对较弱，容易成为不法分子的主要目标群体。家中亲属要加强对老年人的关心和提醒，通过多种途径向他们普及防骗知识，提高他们的警惕性，共同守护好家庭的财产和安全。

如果在生活中发现有人使用诈骗设备或有人冒充通信公司工作人员上门以维修、网络提速等理由安装此类诈骗设备的，请立即拨打110报警电话！

文章来源 ：freebuf、国家反诈中心

精彩推荐

乘风破浪|华盟信安线下网络安全就业班招生中！

【Web精英班·开班】HW加油站，快来充电！

‍

‍

始于猎艳，终于诈骗！带你了解“约炮”APP

‍