Una falla crítica en los protocolos de seguridad humana de Sony puso en alerta a la comunidad de jugadores y a los expertos en tecnología esta semana. El periodista francés Nicolas Lellouche, del portal especializado Numerama, fue víctima de un complejo ciberataque que provocó la pérdida del acceso a su cuenta de PlayStation Network (PSN). El incidente llamó la atención no sólo por la invasión en sí, sino también por el método utilizado: el hacker eludió capas robustas de protección digital, como la autenticación de dos factores (2FA) y las claves de acceso (passkeys), explotando lagunas en el servicio de atención al cliente de la empresa.
El caso expone una debilidad alarmante donde la ingeniería social supera las barreras tecnológicas implementadas por los usuarios. Segundo, el atacante pudo convencer a los agentes de soporte de PlayStation de que él era el propietario legítimo de la cuenta, utilizando información mínima para validar su identidad. El delincuente cambió el correo electrónico de inicio de sesión, la contraseña e incluso realizó cargos financieros a través de una cuenta PayPal vinculada, todo con la connivencia involuntaria del soporte técnico.
La situación empeoró cuando, después de recuperar el acceso, la víctima fue pirateada nuevamente unas horas más tarde, lo que demuestra que el sistema de soporte no indicó actividad sospechosa de múltiples cambios de propiedad en un corto intervalo. El episodio plantea serias dudas sobre la formación de los equipos de atención al cliente y los protocolos de verificación de identidad en las grandes plataformas de juegos digitales.
Los expertos en seguridad digital advierten que el incidente no es aislado y refleja un modus operandi creciente en el cibercrimen, centrado en explotar el “factor humano” de las corporaciones. Los sistemas automatizados Enquanto se vuelven más difíciles de penetrar, los canales de atención al cliente terminan convirtiéndose en la puerta trasera para los atacantes que poseen fragmentos de datos personales de las víctimas.
Mecanismo de invasión e ingeniería social.
El ataque exitoso contra la cuenta de Lellouche se basó en una técnica de ingeniería social facilitada por una supervisión digital común. El hacker, que se identificó en los mensajes internos de la red como “Derol Bodden”, utilizó un antiguo número de identificación de transacción (Transaction ID) como prueba de propiedad. Los datos específicos de Esse habían sido expuestos públicamente por el propio periodista en una captura de pantalla compartida en Internet en 2023, que sirvió como clave maestra de la estafa.
Al comunicarse con el chat de soporte de Sony, el atacante presentó este antiguo número de transacción junto con el nombre de usuario de la cuenta. Surpreendentemente, los agentes de servicio aceptaron esta información como prueba suficiente de propiedad, ignorando la necesidad de confirmar datos más sensibles, como documentos personales, fecha de nacimiento completa o acceso al correo electrónico registrado original. La validación simplificada de Essa permitió al hacker solicitar desactivar las protecciones de seguridad y cambiar las credenciales de acceso.
El proceso reveló que, para el apoyo de la empresa, la posesión de un comprobante de compra antiguo tiene mayor peso que las configuraciones de seguridad activas en la cuenta, como la verificación en dos pasos. Isso crea una paradoja en la que el usuario invierte en herramientas de protección, pero queda vulnerable debido a políticas de servicio que priorizan la resolución rápida de tickets sobre la verificación de identidad rigurosa.
Alertas de seguridad recurrentes y fallidas
Uno de los aspectos más inquietantes de este caso fue la facilidad con la que se replicó el ataque. Após se dio cuenta de la intrusión inicial (notificada mediante correos electrónicos de cambio de ID y un cargo inesperado de 9,99 euros en PayPal), Lellouche logró recuperar el control de su cuenta a través del mismo canal de soporte. Ele restableció sus contraseñas y reactivó todas las medidas de seguridad disponibles, creyendo que había resuelto el problema.
Sin embargo, en menos de una hora, el hacker repitió el procedimiento exacto. Entrou volvió a ponerse en contacto con el soporte de PlayStation, proporcionó los mismos datos filtrados y obtuvo el control de la cuenta por segunda vez. El sistema de Sony no emitió alertas de seguridad para bloquear la transferencia de propiedad consecutiva, ni marcó la cuenta para una revisión manual adicional, lo que permitió que continuara el ciclo de piratería.
Durante el breve período en el que tuvo el control de la cuenta, el atacante provocó importantes daños en el perfil digital del periodista. Después de los cambios financieros, el hacker desconectó de forma remota la consola PlayStation 5 de la víctima, eliminó la lista de amigos y eliminó los historiales de conversaciones, lo que demuestra el potencial destructivo de este tipo de acceso no autorizado.
Riesgos para el consumidor y el mercado del juego
La repercusión del caso generó intensos debates en foros y redes sociales sobre la seguridad de las colecciones digitales. Jogadores que han acumulado valiosas bibliotecas de juegos y logros virtuales ahora se sienten expuestos y se dan cuenta de que sus cuentas pueden ser secuestradas independientemente de la complejidad de sus contraseñas. El mercado negro de cuentas de PSN es una realidad lucrativa, donde se venden perfiles con muchos juegos o trofeos raros, a menudo obtenidos mediante métodos similares de manipulación del soporte.
Sony enfrenta críticas por no implementar capas adicionales de verificación en el servicio humano, como requerir confirmación a través de una aplicación de autenticación o enviar códigos al teléfono celular registrado antes de realizar cambios críticos. La ausencia de mecanismos como preguntas de seguridad personalizadas o análisis del comportamiento de acceso hace que la plataforma sea un objetivo atractivo para los ingenieros sociales.
Al momento de este informe, la compañía no había emitido un comunicado oficial detallado sobre los cambios específicos en sus protocolos de servicio luego de que el incidente se volviera viral, aunque el ticket de soporte del periodista sigue bajo análisis para una investigación interna. La comunidad espera medidas que equilibren la eficiencia del soporte con la integridad de las cuentas de los usuarios.
Recomendaciones de protección para los usuarios
Dada la vulnerabilidad expuesta, los expertos en ciberseguridad recomiendan una revisión inmediata de los hábitos de intercambio de información en línea. La pauta principal es nunca publicar capturas de pantalla que contengan números de transacciones, correos electrónicos de confirmación de compra, números de serie de la consola o cualquier identificador único, incluso si parecen inofensivos o antiguos.
Otra medida crucial es la gestión de los métodos de pago. Recomenda Evite mantener tarjetas de crédito vinculadas permanentemente a su cuenta de PSN. El uso de tarjetas prepago (tarjetas regalo) o billeteras digitales que requieren autorización separada para cada transacción limita el daño financiero en caso de hackeo. Além Además, habilitar notificaciones en tiempo real sobre cualquier cambio en la cuenta permite una reacción más rápida, aunque, como se ve en el caso de Lellouche, esto también depende de la eficacia del soporte para contener el ataque.
Por último, es vital realizar una “limpieza digital” periódicamente. Usuários debería revisar publicaciones antiguas en las redes sociales y eliminar imágenes o texto que puedan proporcionar munición a los piratas informáticos. La seguridad de la información moderna requiere no sólo contraseñas seguras, sino también un comportamiento preventivo riguroso con respecto a la exposición de datos que pueden servir como claves maestras en ataques de ingeniería social.
