PlayStation サービスの脆弱性によりユーザーが危険にさらされ、保護されているアカウントが盗まれる可能性があります

今週、ソニーの人間の安全保障プロトコルに重大な欠陥があるため、ゲーマーとテクノロジー専門家のコミュニティは警戒を強めています。専門ポータル Numerama のフランス人ジャーナリスト、ニコラ・ルルーシュ氏は、複雑なサイバー攻撃の被害者となり、PlayStation Network (PSN) アカウントにアクセスできなくなりました。この事件は、侵入自体だけでなく、その手口にも注目が集まりました。ハッカーは、二要素認証 (2FA) やアクセス キー (パスキー) などの堅牢なデジタル保護層をバイパスし、同社の顧客サービスの抜け穴を悪用しました。

この事件は、ソーシャル エンジニアリングがユーザーによって実装された技術的障壁を克服するという憂慮すべき弱点を明らかにしました。報告によると、攻撃者は身元を確認するために最小限の情報を使用して、PlayStation のサポートエージェントに自分がアカウントの正当な所有者であることを説得することに成功しました。犯罪者は、テクニカル サポートを黙認しながら、ログイン用メール アドレスとパスワードを変更し、リンクされた PayPal アカウントを通じて金銭請求さえ行いました。

アクセスを回復した後、数時間後に被害者が再度ハッキングされ、サポート システムが短期間に複数の所有権を変更するという不審な活動を通知しなかったことが示され、状況はさらに悪化しました。このエピソードは、顧客サービス チームのトレーニングと大規模なデジタル ゲーム プラットフォームでの本人確認プロトコルについて深刻な疑問を引き起こしています。

デジタルセキュリティの専門家らは、今回の事件は単独のものではなく、企業の「人的要素」の悪用に焦点を当てたサイバー犯罪の手口の拡大を反映していると警告している。自動化されたシステムへの侵入がますます困難になるにつれ、カスタマー サービス チャネルは、被害者の個人データの断片を保有する攻撃者にとってのバックドアになりつつあります。

侵入メカニズムとソーシャルエンジニアリング

ルルーシュのアカウントに対する攻撃が成功したのは、一般的なデジタル監視によって促進されたソーシャル エンジニアリング手法に基づいていました。このハッカーは、内部ネットワーク メッセージで自分自身を「Derol Bodden」と名乗り、所有権の証明として古いトランザクション識別番号 (トランザクション ID) を使用しました。この特定のデータは、2023 年にインターネット上で共有されたスクリーンショットでジャーナリスト自身によって公に公開され、詐欺のマスターキーとして機能しました。

Sony のサポート チャットに連絡する際、攻撃者はアカウントのユーザー名とともにこの古いトランザクション番号を提示しました。驚くべきことに、サービスエージェントは、個人文書、完全な生年月日、元の登録電子メールへのアクセスなど、より機密性の高いデータを確認する必要性を無視して、この情報を所有権の十分な証拠として受け入れました。この簡素化された検証により、ハッカーはセキュリティ保護を無効にし、アクセス資格情報を変更するよう要求することができました。

このプロセスにより、企業サポートの場合、古い購入証明の所有が、2 段階認証などのアカウントのアクティブなセキュリティ設定よりも重要であることが明らかになりました。これにより、ユーザーは保護ツールに投資するものの、厳格な本人確認よりも迅速なチケット解決を優先するサービス ポリシーのせいで脆弱なままになるという矛盾が生じます。

セキュリティ アラートの再発と失敗

この事件で最も懸念すべき側面の 1 つは、攻撃が容易に再現されたことです。 ID 変更メールと PayPal での予期せぬ 9.99 ユーロの請求によって通知された最初の侵入に気づいた後、ルルーシュさんは同じサポート チャネルを通じてアカウントの制御を取り戻すことができました。彼は問題が解決したと信じて、パスワードをリセットし、利用可能なすべてのセキュリティ対策を再度有効にしました。

しかし、1 時間も経たないうちに、ハッカーは同じ手順を繰り返しました。彼は再び PlayStation サポートに連絡し、同じ漏洩データを提供して、二度目にアカウントの制御を獲得しました。ソニーのシステムは、連続した所有権の移転を阻止するセキュリティ警告を発行せず、手動による更なる確認のためにアカウントにフラグを立てなかったので、ハッキングサイクルの継続を許しました。

攻撃者がアカウントを制御していた短期間に、攻撃者はジャーナリストのデジタル プロフィールに重大な損害を与えました。財務上の変化に加えて、ハッカーは被害者のPlayStation 5本体の接続を遠隔から切断し、友人リストを削除し、会話履歴を削除し、この種の不正アクセスの破壊的な可能性を実証しました。

消費者とゲーム市場に対するリスク

この事件の影響で、デジタル コレクションのセキュリティについてフォーラムやソーシャル ネットワークで激しい議論が巻き起こりました。貴重なゲーム ライブラリや仮想実績を蓄積してきたゲーマーは、パスワードの複雑さに関係なくアカウントがハイジャックされる可能性があることを認識し、危険にさらされていると感じています。 PSN アカウントのブラック マーケットは、多くのレアなゲームやトロフィーを含むプロファイルが販売されており、多くの場合、同様のサポート操作方法を通じて取得され、儲かる現実です。

ソニーは、重要な変更を加える前に認証アプリによる確認を要求したり、登録された携帯電話にコードを送信したりするなど、人的サポートにおいて追加の検証層を実装していないことで批判に直面している。パーソナライズされたセキュリティの質問やアクセス行動分析などのメカニズムがないため、このプラットフォームはソーシャル エンジニアにとって魅力的なターゲットとなっています。

このレポートの時点では、同社は事件が拡散した後のサービスプロトコルの具体的な変更について詳細な公式声明を発表していなかったが、ジャーナリストのサポートチケットは内部調査のために分析中のままである。コミュニティは、サポートの効率性とユーザー アカウントの完全性のバランスを取る措置を待っています。

ユーザーに対する保護に関する推奨事項

脆弱性が明らかになったことから、サイバーセキュリティの専門家は、オンラインでの情報共有の習慣を直ちに見直すことを推奨しています。主なガイドラインは、たとえ無害または古いように見えても、トランザクション番号、購入確認メール、本体のシリアル番号、またはその他の一意の識別子を含むスクリーンショットを決して公開しないことです。

もう 1 つの重要な対策は、支払い方法の管理です。クレジット カードを PSN アカウントに永続的にリンクしたままにしないことをお勧めします。トランザクションごとに個別の認証が必要なプリペイド カード (ギフト カード) またはデジタル ウォレットを使用すると、ハッキングの際の経済的被害を最小限に抑えることができます。さらに、アカウント変更のリアルタイム通知を有効にすると、より迅速な対応が可能になります。ただし、ルルーシュのケースで見られるように、これは攻撃を封じ込めるためのサポートの有効性にも依存します。

最後に、「デジタル クレンジング」を定期的に実行することが重要です。ユーザーは古いソーシャルメディア投稿を確認し、ハッカーの攻撃材料となる可能性のある画像やテキストを削除する必要があります。現代の情報セキュリティには、強力なパスワードだけでなく、ソーシャル エンジニアリング攻撃のマスター キーとして機能する可能性のあるデータの漏洩に関する厳格な予防行動も必要です。