Ukraiński programista ukradł kody podarunkowe Xbox za ponad 10 mln USD

Pracownikowi działu Xbox Microsoftu udało się wykorzystać lukę w zabezpieczeniach, która pozwoliła mu ukraść karty podarunkowe Xbox o absurdalnej wartości. Z kradzieży udało się kupić posiadłość nad jeziorem oraz samochód Tesla. Pracownicy często pożyczają jakieś mniej lub bardziej drobne elementy wyposażenia biur, lub sprzęt elektroniczny, który przetrzymują w domu i korzystają prywatnie. Jednak kradzież towarów o wartości milionów dolarów to dość niecodzienne zjawisko. Bloomberg donosi, że tak właśnie się stało w dziale Microsoft Xbox. Wspomniana sprawa miała miejsce w 2017 roku, ale dopiero teraz ujawniono nowe istotne szczegóły.

Podczas testów przetwarzania płatności ukraiński programista znalazł lukę, pozwalającą pozyskiwać karty Xbox bez płacenia. Zamiast zgłosić to pracodawcy, wykorzystał exploit na swoją korzyść.

Cztery lata temu nowo zatrudniony młodszy inżynier oprogramowania, Wołodymyr Kvashuk, otrzymał zadanie dokonania przeglądu infrastruktury e-commerce firmy Microsoft, w szczególności przetwarzania płatności. To wtedy Kvashuk natknął się na dość rażącą lukę w zabezpieczeniach: za każdym razem, gdy symulował zakup karty podarunkowej Xbox w celach testowych, wewnętrzny system Microsoftu dostarczał ważny, użyteczny kod podarunkowy. Zamiast zgłosić usterkę, ukraiński deweloper postanowił wykorzystać exploit na swoją korzyść. Logując się na konta swoich współpracowników, co było możliwe dzięki słabym, możliwym do odgadnięcia hasłom, Kvashuk był w stanie uzyskać tysiące kodów zasadniczo za darmo. Następnie sprzedał je online innym oszustom za Bitcoiny, które szybko zyskiwały na wartości.

Aż do jego zatrzymania dwa lata później, Kvashuk wygenerował łącznie 152000 kodów podarunkowych Xbox o łącznej wartości ponad 10 milionów dolarów. Według doniesień wykorzystywał wpływy ze sprzedaży kodów podarunkowych, aby wieść dość wystawne życie, kupując nową Teslę i posiadłość na nabrzeżu nad jeziorem Waszyngton.  Został uznany za winnego oszustwa, kradzieży tożsamości i prania pieniędzy w lutym 2020 roku i został skazany na dziewięć lat więzienia, a po zwolnieniu grozi mu deportacja ze Stanów Zjednoczonych. Kvashuk wpadł przez brak ostrożności. Dodatkowo wysyłał często złe kody, często w ilościach hurtowych, co spowodowało wysyłanie skarg do Microsoftu. Gigant zaczął wtedy baczniej przyglądać się sprawie i tak już wcześniej analizując zwiększony ruch w kartach podarunkowych.