ソニーのサポートに重大な欠陥があり、ソーシャル エンジニアリングによる PSN アカウントの二重ハッキングが可能になる

PlayStation ネットワーク上のデータ セキュリティに関する憂慮すべき事件により、大手テクノロジー企業の顧客サービス プロトコルの重大な弱点が明らかになりました。専門ポータル Numerama のフランス人ジャーナリスト、ニコラ・ルルーシュ氏は、ソーシャル エンジニアリングとして知られる手法の被害により、短期間に 2 回にわたり PlayStation Network (PSN) アカウントにアクセスできなくなったと報告しました。 2 要素認証 (2FA) が有効で強力なパスワードが設定されていたとしても、アカウントはソフトウェアの欠陥ではなく、同社のサポート エージェントによる操作によって侵害されました。

この侵害により機密データが暴露され、攻撃者による重要なプロファイル情報の変更が可能になり、人的要因が悪用される場合には技術的なセキュリティ障壁が無意味になる可能性があることが実証されました。この訴訟は、時代遅れの、または適切に適用されていない本人確認手続きが、長年にわたるデジタル投資とユーザーの財務情報をいかに危険にさらす可能性があるかを浮き彫りにし、国際的な反響を呼びました。この状況は、仮想資産の保護が物理的な商品の保護と同様に重要である 2026 年のゲームおよびデジタル サービス業界に対する厳しい警告となります。

この攻撃では複雑なコードやブルートフォースハッキングソフトウェアは使用されず、むしろ説得と以前に漏洩したデータの使用が行われました。ハッカーはソニーのサポートチームに自分がアカウントの真の所有者であると確信させ、2段階認証などのアクセスを保護するセキュリティ対策を無効にするよう要求した。

デジタルセキュリティの専門家は、この種の侵害は大企業のトレーニングや社内政治に関わるため、ソフトウェアのバグよりも修正が難しい場合が多いと指摘している。攻撃者が正当な所有者によるアカウント回復を簡単に取り消すことができたことは、顧客サービス チームに与えられたセキュリティ トレーニングの有効性について深刻な疑問を引き起こします。

顧客サービスの脆弱性

攻撃者が使用した手法は、標準のデジタル保護をバイパスし、ソニーのアカウント回復ポリシーを悪用することに完全に基づいていました。ハッカーは PlayStation サポート チャットに連絡し、アカウントに関連付けられた電子メールにアクセスできなくなったと主張しました。これは、デジタル ID 盗難の試みで一般的な戦術です。リクエストを検証するために、サポート エージェントが必要としたのは静的な情報のみでした。残念ながら、この情報はダーク ウェブ上の漏洩データベースで頻繁に流通したり、公共の観察を通じて入手したりすることができます。

所有権を「証明」するために要求されたデータの中には、ゲーム機のシリアル番号や最近または古い取引の詳細が含まれていました。このジャーナリストは、彼の元のコンソールのシリアル番号が何年も前に画像で公開されていたことを指摘しました。その詳細は当時は注目されませんでしたが、それが現在の攻撃のマスターキーになったとのことです。この視覚的な情報により、攻撃者は会社のセキュリティ プロトコル要件を満たすことができました。

偽の ID が検証されると、サポート担当者は 2 要素認証 (2FA) を手動で無効にし、ログイン電子メールをハッカーが管理するアドレスに変更しました。サポートによるこの一方的な措置により、ユーザーが設定したすべての保護層が即座に無効になり、ゲーム ライブラリとリンクされた支払い方法の完全な制御が悪意のある第三者に引き渡されました。

繰り返されるハッキングの詳細

このインシデントで最も憂慮すべき点は、最初のアカウント回復後、攻撃がどれほど迅速に再現されたかということでした。ルルーシュ氏は侵入に気づくとすぐにソニーに連絡し、身元を証明してアクセスを回復し、パスワードのリセットとセキュリティの再アクティブ化を 2 段階で行いました。ただし、攻撃者が別のサポート エージェントを使用して同じプロセスを繰り返したため、安心感は 1 時間も続きませんでした。

この 2 回目の攻撃では、ハッカーは制御を取り戻しただけでなく、ユーザーのプロフィールに破壊的な変更を加えて、さらなる回復を困難にし、人身被害を引き起こしました。表示名は「Derol Bodden」に変更され、友人リストは削除され、プライバシー設定は通信をブロックするように変更され、アカウントは通常の連絡先ネットワークから隔離されました。

このような短い間隔での攻撃の再発は、セキュリティケース管理におけるシステム的な欠陥を示しています。システムには予防的なブロックや、そのアカウントが争われたばかりであることを示すアラートがなかったようで、技術サポートはハッカーの新しいリクエストを合法的かつ日常的なリクエストとして扱い、詐欺の当面の状況を無視することができました。

銀行データとプライバシーに対するリスク

PSN アカウントのハッキングは、デジタル ゲームへのアクセスの喪失だけにとどまりません。それはユーザーに重大な経済的およびプライバシーのリスクをもたらします。報告された事件では、アカウントが PayPal にリンクされていたため、攻撃者は被害者の資金を使用して金融取引を実行しようとすることができました。ジャーナリストは直接的な金銭的損失を避けるために時間内に行動することができましたが、支払いデータの漏洩は深刻な結果です。

金銭的なリスクに加えて、不正アクセスによりユーザーの購入履歴、請求先住所、消費パターンが暴露されます。この情報は、攻撃者によって収集されると、他のプラットフォームで詐欺を実行したり、同じ被害者やその濃厚接触者に対する将来のソーシャル エンジニアリング攻撃の信頼性を強化したりするために使用される可能性があります。

セキュリティプロトコルのチェック

このエピソードは、大規模なオンライン サービスにおける本人確認プロトコルを最新化する必要性についての議論を再燃させます。ハードウェアのシリアル番号や、侵害された電子メールの受信に含まれるトランザクション ID などの静的データへの依存は、現代のサイバー犯罪戦術に直面すると不十分であることが判明しています。専門家は、2FA の無効化などの重要な変更には、猶予期間または生体認証検証が必要な場合は必要であると提案しています。

ゲーマーやテクノロジー専門家のコミュニティは、ソニーやこの分野の他の企業に対し、より積極的な対応を求めてきました。需要は、たとえアカウント回復プロセスに面倒な手順を追加することを意味するとしても、ユーザーのセキュリティを優先し、利便性がデータの整合性を無効にしないことを保証するシステムです。

企業ポリシーはソーシャル エンジニアリングの効果を軽減するために更新されていませんが、2026 年のユーザーに対する推奨事項は常に警戒し続けています。これには、機器のシリアル番号を含む画像を公開しないこと、セキュリティ電子メールを積極的に監視すること、および可能な場合には取引ごとに外​​部承認を必要とする支払い方法を使用することが含まれます。