De ethische hacker Robbe Van Roey uit Tessenderlo heeft een kritisch beveiligingslek ontdekt in de populaire game Meccha Chameleon. Hij kon de computer van andere spelers volledig overnemen door een kwaadaardige code te verbergen in een gemanipuleerd audiobestand. Intussen is het probleem opgelost, maar Van Roey vreest dat zulke beveiligingshiaten in de toekomst vaker zullen voorkomen.
Limburgse hacker kraakt populaire game Meccha Chameleon via nep-audiobestand: "Kon hele computer overnemen"
Elian Pergola
Gepubliceerd:
Meccha Chameleon is een populaire videogame die op 9 juni 2026 uitkwam en in amper 1 week tijd meer dan 5 miljoen keer gedownload werd. Het spel is gebouwd door 2 Japanners die weinig ervaring hebben met het ontwikkelen van videogames.
Ze plaatsten het spel op Steam, het grootste onlineplatform voor computerspellen ter wereld, voor enkele euro's. Spelers van het spel kunnen zelf 'maps' of levels maken en weer opladen naar de Steam-server, zodat andere spelers ze kunnen hergebruiken. En daarin kon je tot voor kort zomaar bestanden opladen die de computer van andere gebruikers overnamen.
Met audiobestand hele computer overnemen
"Met overnemen bedoel ik dan echt alles wat op je computer staat kunnen zien en lezen, of zelfs je webcam bekijken en de microfoon volgen", legt Robbe Van Roey uit. Van Roey is ethisch hacker bij Aikido Security. Hij merkte een gevaarlijk patroon op in het spel.
"Het gaat er eigenlijk om dat ik in het spel geluid kan afspelen in die map. Door een geluidsbestandje te maken dat eigenlijk kwaadaardig is, kan ik dat geluidsbestandje op mensen hun computer gaan opslaan," legt Van Roey uit.
Door een aantal trucjes kan ik dus een uitvoerbare code op een geluidsbestandje doen lijken. Die code kon de computer overnemen
Robbe Van Roey (26), ethisch hacker
Die onschuldige audiobestanden transformeerde Van Roey uiteindelijk in een uitvoerbaar programma. "Door een aantal trucjes kan ik dus een uitvoerbare code op een geluidsbestandje doen lijken. Die code kon de computer overnemen."
Peer pressure
Hoe kon zoiets nu gebeuren? Van Roey schrijft dat toe aan de druk die ingebouwd is in het spel. "Als je verder wilt spelen, dan moet je een volgende map downloaden", legt Van Roey uit. "Je krijgt daar simpelweg een pop-upvenster van te zien, dus de druk om de volgende map te downloaden is hoog."
Het concept is immers even simpel als verslavend: een online potje verstoppertje waarbij je als wit personage jezelf moet beschilderen om - als een kameleon - op te gaan in de omgeving. Die omgeving wordt een 'map' genoemd.
Die zogenaamde 'maps' kunnen gebruikers van het spel zelf bouwen, zodat het spel eindeloos gevarieerd blijft. Net dat maakt het spel zo populair. En dus ook gevaarlijk.
Hack met AI
Daarom besloot Van Roey om artificiële intelligentie op het spel los te laten. "AI kan snel door grote stukken code van de game gaan; intussen kon ik focussen op de interessante delen", legt hij uit. Zo ontdekte hij het lek.
Volgens de ethisch hacker hadden de Japanse ontwikkelaars weinig ervaring met het ontwikkelen van videogames. "Ze zijn zo gefocust op het zorgen dat het spel werkt en niet op zorgen dat het veilig is. Dat is een heel andere mindset", aldus Van Roey.
Hij zegt dat de meeste ontwikkelaars overigens niet beschikken over securitykennis, wat het risico op gevaarlijke programmeerfouten vergroot. "Binnen Aikido doen we net daarom vaker dit soort research op populaire software", zegt Van Roey nog.
Uiteindelijk contacteerde Van Roey de Japanse ontwikkelaars. Die vroegen hem vervolgens om een uitgebreid rapport over de beveiligingsfout. "Maar een dankjewel is er niet van afgekomen, en al zeker geen geld", lacht Van Roey nog. "Het is dus een ondankbare job."
Regionaal nieuws uit Limburg
Gepubliceerd:
