免費遊戲的代價，個資被盜？Epic Games Store竊取及洩漏個資爭議

一、前言

Epic Games以其「虛幻」系列遊戲引擎而聞名，許多遊戲皆採用此引擎來製作。原本他們都是在Steam平台上架自家的遊戲，但是由於對Steam平台抽成遊戲收益的30%（過高）不滿，Epic Games創辦人Tim Sweeney便在2018年12月開始了自家的遊戲平台Epic Games Store (EGS)。很快地，這個平台就靠著12%的低抽成以及虛幻4引擎的資金方案，迅速吸引大量遊戲開發商進入此平台而打入了PC遊戲平台的分發市場。然而看似如此良好的招商方案以及招待玩家的好處，竟然藏著不可告人的爭議。

二、竊取個資爭議

Epic Games Store販賣遊戲的線上平台，而且它每個禮拜都會限時贈送免費遊戲，而要購買遊戲、啟動遊戲、下載遊戲、或是領取這些遊戲都需要下載EGS的遊戲啟動器。然而，在2019年3月中，有網友在知名論壇Reddit上爆料，EGS遊戲啟動器會偷偷利用其本身藏有可存取玩家電腦憑證之加密程式來存取玩家的資料並傳回Epic Games。

EGS遊戲啟動器及Steam平台（圖片擷取自本人電腦）

這些資料包含了玩家Steam帳號遊戲遊玩時間、好友資料與IE瀏覽器設定等，而且根據該網友所說，他發現的「tracking.js」副本文件內容疑似就是玩家數據資料。

EGS資料夾中疑似盜取的資料（圖片來源：Reddit）

EGS啟動器讀取Steam localconfig.vdf的資料夾（圖一）

EGS啟動器計算運行過程（圖二）

對於這個事件，EGS啟動器程式總監暨副總裁Daniel Vogel回應說到「tracking.js」只是他們Epic Games拿來統計數據方便官方付費給遊戲開發團隊的追蹤副本文件而已；並且他還說明程式有根憑證（root certificate）和cookie等數據是因為啟動器是瀏覽器介面的緣故。根據Vogel所說：「我們僅在玩家明確許可的情況下導入你的Steam好友，啟動器才會生成 Steam localconfig.vdf文件的加密副本。然而，如果您選擇導入你的 Steam朋友，該文件中的信息僅僅只有你的好友ID發送給Epic，除此之外沒有其他資訊。」但是，這並沒有解釋「tracking.js」中為何會有疑似Steam平台遊戲時間的數據。雖然最後Tim Sweeney強調基於安全和隱私，他們盡可能在減少啟動器上第三方平台的數目，因此Epic Games啟動器並未使用Steam API；以及多次強調他們並未與中國騰訊共享玩家數據。但是在當時的Epic Games股東中，騰訊這家中國公司持有了48%的股份，這不免讓玩家或網友們懷疑那些傳回Epic Games的資料會不會落到騰訊手上。

Steam平台上遊戲程式的遊戲時間（圖片來源：Reddit）

三、個資外洩爭議

在2019年的一月，Epic Games公布了在它旗下知名的遊戲「Fortnite」（堡壘之夜）中發現的bug，這個bug可能會洩漏幾百萬用戶的個人資訊。經以色列網路安全公司Check Point調查後發現，駭客可以透過XSS攻擊讓用戶點開惡意連結後取得他們的用戶名稱及密碼。

「Fortnite」（堡壘之夜）（圖片來源：Epic Games Store）

XSS攻擊流程（圖三）

由於這件事情發生，在2019年8月，律師事務所Franklin D. Azar & Associates 針對Epic Games「未能保證用戶數據安全以及未能及時通知用戶數據洩露」代理100多位客戶向Epic Games發起集體訴訟。

四、Houseparty個資遭盜用謠言

Houseparty是一款能在PC以及行動裝置上使用的語音軟體，有很多人下載這個軟體。Houseparty在2019年被Epic Games收購成為其旗下產品。在今年三月時，根據Independent報導，網路上謠言此軟體遭到駭客入侵盜取用戶的Netflix、PayPal、Spotify帳號。雖然Houseparty馬上在官方Twitter澄清這個傳聞只是謠言，同時祭出100萬美金給任何找出個資被盜的證據的人；但是由於Houseparty也是由騰訊掌握大量股份，網友便質疑其實騰訊也能看到使用者的資料。然而Tim Sweeney還是用一樣的話（同「二、」之回應）來回覆網友，說明騰訊不能掌握用戶的資料。

Houseparty（圖四）

五、結語

雖然Epic Games靠著這種較低抽成以及每週贈送免費遊戲的策略來吸引各大遊戲開發團隊以及玩家們來使用他們的平台EGS，而且也真的吸引了大量的新用戶去使用。但是身為使用者的我們，在使用前還是要注意一下該公司股東裡，中國的公司所持有的股份多不多；請審慎地查閱各大資訊來確認及確保自己使用平台的正當權益，避免自己的隱私個資被竊取。

資料來源：

Epic Games商店遭爆存取玩家Steam個資！執行長承諾修正，Valve關切中 💥

EPIC Promises to Fix Game Launcher after Privacy Concerns

Epic Games Store偷你全電腦資料，建議立刻移除

Epic Games因洩漏個資，玩家信用卡遭盜刷，面臨集體訴訟

Epic hit with class-action suit over hacked Fortnite accounts

Hacking Fortnite Accounts

被 Steam 玩家罵了一年的 Epic Games Store，現在怎麼樣了？

Epic旗下產品又面臨個資風波？祭出千萬獎金要網友提供證據

HOUSEPARTY: IS THE APP SAFE AND SHOULD YOU DELETE YOUR ACCOUNT?

Epic Games 的隱私權爭議是什麼？遭爆竊取Steam用戶個資但官方表示是誤會

圖片來源：