不久前，安全研究人員發現了來自Electronic Arts(EA)的Origin游戲平臺中的漏洞，這些漏洞本可以讓攻擊者接管多達3億用戶的帳戶。目前EA表示已經修復了該問題。
此前Check Point和CyberInt的研究人員發現了一些Origin游戲平臺的問題，他們的一個子域名被重定向到微軟Azure云計算服務上的一個廢棄主機，任何人都可以免費注冊。這似乎是EA游戲公司的疏忽。
“通常，基于云的公司(如EA Games)提供的每項服務都在一個唯一的子域名地址上注冊，例如eaplayinvite.ea.com，并且具有指向特定云供應商主機的DNS指針(A或CNAME記錄) ，如下圖，ea-invite-reg.azurewebsites.net，它在后臺運行所需的服務，在這種情況下是一個Web應用程序服務器。“
由于它已不再使用，研究人員能夠將“ea-invite-reg.azurewebsites.net”注冊為Azure上自己的Web應用程序服務的名稱。由于CNAME記錄仍處于活動狀態，研究人員通過“eaplayinvite.ea.com”收到了EA用戶提出的所有請求。
雖然劫持子域名不足以導致帳戶接管攻擊，但它幫助研究人員尋找一種方式來利用這種訪問方式，使黑客受益。該漏洞不需要用戶移交任何登錄詳細信息，而是利用身份驗證令牌以及EA游戲用戶登錄過程中內置的oAuth單點登錄(SSO)和TRUST機制。攻擊者可以利用一系列“漏洞”來攻擊FIFA，Maden NFL，NBA Live，UFC，模擬人生以及榮譽勛章等游戲玩家。
