Содержание
С аккаунтами PlayStation Network всплыла неприятная история, которая тянется уже полгода. Схема взлома, о которой громко говорили в декабре 2025 года, по сути до сих пор работает: злоумышленнику хватает номера транзакции, чтобы через поддержку Sony «доказать» владение аккаунтом и обойти 2FA и passkey.
Повод снова обсуждать проблему дал журналист Numerama Николя Леллуш. Он написал в X: «Do you remember the hacking of my PlayStation account that went viral around the world and Sony still hasn’t fixed? I got hacked again last night».
Как уязвимость обходит 2FA и passkey
Суть проблемы не в «дырке» в приложении или консоли. Речь о том, как служба поддержки PlayStation проверяет, кто владелец учётной записи. По сообщениям, достаточно назвать номер транзакции, и поддержка принимает это как подтверждение владения. Дальше атакующий может сменить почту и выкинуть владельца из аккаунта, даже если у того включены 2FA и настроен passkey.
Леллуш описывает последствия прямо: «It’s insane that it’s so easy to change an email, to completely disable the old email, and to delete an access key». То есть атакующий не просто входит в аккаунт, а ломает саму «точку возврата» — почту и ключи доступа.
Что Sony сделала за эти месяцы, и почему этого не хватило
После декабрьской истории, по словам Леллуша, Sony добавила защитную пометку уровня «high-risk account, customer service must not intervene». Проще говоря, поддержке запретили вмешиваться по его учётке, чтобы не повторить сценарий с перехватом.
Но эта мера, судя по всему, прожила около шести месяцев. Аккаунт журналиста снова скомпрометировали, и он пишет, что чувствует себя бессильным: «As long as the flaw isn’t fixed, the same bug can be re-exploited infinitely. So I can no longer use my games with peace of mind: they risk disappearing».
Почему повторный взлом выглядит даже хуже первого
Сначала допускали, что это тот же человек, который взламывал аккаунт в декабре, и теперь действует «из мести». Но текущие признаки говорят об обратном.
Новый злоумышленник, как утверждается, не менял ID аккаунта и играл в другие игры. Это делает ситуацию неприятнее: выходит, что речь не о личной вендетте, а о повторяемой схеме. Любой, кто добыл номер транзакции, может попытаться «забрать» чужую учётку через поддержку.
Публично Sony на момент этой истории не сообщала о переработке протоколов поддержки, которые закрыли бы такой вектор атаки.
Пост Николя Леллуша в X: Numerama journalist Nicolas Lellouche on X.
