Un giornalista francese del sito Numerama, Mesmo con autenticazione a due fattori (2FA) e chiavi di accesso (passkey) attivate, l’aggressore è riuscito a prendere il controllo del profilo, modificare i dati e addebitare 9,99 euro.
L’attacco non ha sfruttato una vulnerabilità tecnologica, ma piuttosto la fragilità del processo di verifica umana. Utilizzando tecniche di ingegneria sociale, l’hacker ha convinto un addetto all’assistenza PlayStation di essere il vero proprietario dell’account, utilizzando informazioni minime che erano state condivise pubblicamente dallo stesso giornalista anni prima.
Il caso ha avuto una grande ripercussione quando è stato dettagliato da Lellouche sui social media, mettendo in guardia milioni di utenti della piattaforma sul rischio di perdere l’accesso alle librerie di giochi digitali, che spesso rappresentano investimenti significativi. La ripetizione dell’attacco nel giro di poche ore ha dimostrato un fallimento sistemico nella capacità di Sony di identificare e bloccare attività sospette di recupero dell’account.
Dettagli della prima invasione
Il giornalista si è accorto dell’intrusione quando ha ricevuto notifiche di modifiche al suo ID di connessione e un addebito sconosciuto sul suo conto PayPal, collegato a PSN. Durante il tentativo di accedere al suo profilo, ha scoperto che sia la sua email che la password erano state modificate e che la sua console PlayStation 5 era stata disconnessa da remoto dall’account. L’hacker, che nei messaggi della piattaforma si è identificato come “Derol Bodden”, è arrivato al punto di rimuovere amici, cancellare conversazioni e modificare informazioni personali dal profilo compromesso.
Sorprendentemente, Lellouche è riuscito a stabilire un contatto diretto con l’aggressore tramite il sistema di messaggistica di PlayStation. Durante dopo la conversazione, l’hacker ha spiegato apertamente il metodo utilizzato, rivelando che il supporto di Sony richiedeva un controllo di sicurezza molto basso per trasferire la proprietà di un account. L’informazione cruciale per il successo della truffa era un semplice ID di transazione di un vecchio acquisto, che l’hacker ha ottenuto da uno screenshot che il giornalista aveva pubblicato pubblicamente nel 2023.
La vulnerabilità nel servizio PlayStation
L’incidente mette in luce un difetto critico nei protocolli del servizio clienti di Sony. L’ingegneria sociale, una tecnica di manipolazione psicologica utilizzata per ingannare le persone e ottenere l’accesso a informazioni riservate, è stata applicata con successo contro il sostegno dell’azienda. L’agente di evasione ordini ha accettato un singolo ID transazione come prova definitiva di proprietà, evitando la necessità di richiedere dati di verifica più affidabili e privati, come una data di nascita registrata, il numero di serie di una console collegata o la cronologia degli acquisti recenti. La pratica Essa dimostra una politica di sicurezza che, rendendo la vita più facile agli utenti legittimi, apre una pericolosa scappatoia per i truffatori. La capacità dell’hacker di convincere il supporto a bypassare le misure di sicurezza digitale più forti, come 2FA e passkey, dimostra che l’anello più debole nella catena di sicurezza è spesso il fattore umano e che le procedure di formazione del team di supporto di Sony sono insufficienti per mitigare questo rischio.
La seconda invasione e il fallimento sistemico
Dopo un lungo processo con l’assistenza, Lellouche è riuscito a riottenere l’accesso al suo account. Ele ha reimpostato immediatamente la password, ha riattivato tutte le misure di sicurezza e ha controllato eventuali modifiche inappropriate. Contudo, la sensazione di sollievo fu di breve durata.
In meno di un’ora l’hacker ha ripetuto esattamente la stessa procedura. Ele ha contattato nuovamente il supporto PlayStation, utilizzando la stessa tecnica di social engineering e lo stesso ID transazione per, ancora una volta, prendere il controllo dell’account. Il sistema Sony non ha emesso alcun avviso o blocco, anche di fronte a due richieste di recupero dell’account per lo stesso utente nell’arco di poche ore, il che costituisce un’attività altamente sospetta.
Come gli hacker ottengono queste informazioni
L’arma principale degli aggressori in questo tipo di truffe sono le informazioni che gli utenti stessi condividono pubblicamente. Hackers monitora costantemente social network, forum di gioco e siti Web per individuare screenshot o post che potrebbero contenere dati sensibili.
Le immagini che celebrano la vittoria di un trofeo mostrano un nuovo acquisto su PlayStation
Questi dati, che sembrano innocui per l’utente medio, sono invece un pezzo di un puzzle per i criminali. Una volta ottenuto il nome utente e i dati di verifica, come un ID di acquisto, hanno ciò di cui hanno bisogno per avviare il processo di gestione del supporto.
Anche altre informazioni, come numeri di serie di vecchie console vendute o dati parziali di carte di credito menzionate in vecchi post, possono essere raccolte e utilizzate per dare maggiore credibilità alla storia raccontata all’agente dell’assistenza, rendendo estremamente difficile la difesa da questo tipo di attacchi.
Consigli per proteggere il tuo account PSN
Sebbene l’attivazione di tutti gli strumenti di sicurezza digitale, come l’autenticazione in due passaggi, sia essenziale, questo caso dimostra che non sono infallibili contro i fallimenti dei processi umani. La protezione più efficace inizia con la sensibilizzazione sulla privacy delle informazioni condivise online. È fondamentale evitare di pubblicare pubblicamente immagini o testo che contengano dati associati al tuo account PlayStation, incluse e-mail di conferma, fatture, ID di transazione o numeri di serie dell’hardware.
Un’ulteriore misura di sicurezza consiste nello scollegare i metodi di pagamento diretto, come le carte di credito, dal tuo account PSN. Gli utenti possono invece scegliere di utilizzare carte prepagate (carte regalo) o servizi di portafoglio digitale come PayPal, che aggiungono un ulteriore livello di protezione e limitano le perdite finanziarie in caso di attacco hacker riuscito. Anche Manter notifiche via e-mail e app abilitate per qualsiasi modifica dell’account è fondamentale, poiché consente una reazione più rapida per cercare di invertire il danno.
Ripercussioni e preoccupazioni nella comunità
Il resoconto dettagliato di Lellouche si è diffuso rapidamente nei forum di gioco e sui social media, generando un’ondata di preoccupazione tra i giocatori della piattaforma. Muitos ha espresso preoccupazione per la sicurezza dei propri account, che ospitano centinaia o addirittura migliaia di reais in giochi e contenuti digitali accumulati negli anni, mettendo in dubbio l’efficacia delle politiche di protezione di Sony e il concetto di proprietà digitale quando l’accesso può essere perso in modo così semplice.
Storia dei problemi sulla piattaforma
Questo non è un evento isolato nella storia di PlayStation Network. Relatos di account rubati attraverso tattiche di ingegneria sociale contro il supporto ufficiale emergono periodicamente, spesso prendendo di mira profili di alto valore come quelli di cacciatori di trofei o quelli con librerie di giochi rare ed estese. I profili Esses vengono spesso venduti nei mercati clandestini di Internet per importi considerevoli, alimentando un’economia illegale attorno alle risorse digitali.
Nonostante gli incidenti ricorrenti, Sony continua a subire critiche per non aver implementato processi di verifica più rigorosi e multifattoriali nel suo servizio umano, come la richiesta di frasi di sicurezza o l’analisi di modelli di accesso e geolocalizzazione prima di autorizzare modifiche critiche. La società non ha rilasciato dichiarazioni ufficiali sul caso specifico del giornalista francese, il che aumenta la apprensione della comunità dei giocatori riguardo alla sicurezza dei propri investimenti digitali sulla piattaforma.
