Falha Grave no Suporte da PlayStation Network Permite Roubo de Contas por Engenharia Social

A segurança da PlayStation Network (PSN) voltou ao meio de uma polêmica séria nesta semana posteriormente o relato público de Colin Moriarty, do podcast Sacred Symbols, que teve sua conta sequestrada por hackers. O caso expôs uma vulnerabilidade sistêmica e antiga na plataforma: não é necessário phishing, malware ou qualquer ataque técnico sofisticado — basta convencer um agente do suporte ao cliente da Sony.

Uma vez que o à PSN Ataque Funciona

O método é alarmantemente simples. Os invasores entram em contato com o suporte da PlayStation fingindo ser os donos da conta, fornecendo informações pessoais obtidas publicamente online para convencer os agentes de atendimento. A partir daí, conseguem mudar o e-mail vinculado à conta e desativar a autenticação de dois fatores — tudo isso com a cooperação involuntária da própria equipe da Sony. Camadas de segurança ativadas pelo usuário tornam-se irrelevantes quando o gavinha mais fraco é o atendimento humano.

Existe uma comunidade subterrânea dedicada exclusivamente a essa prática, utilizando ferramentas internas do suporte para mudar credenciais de forma arbitrária. O objetivo mais generalidade é acessar fundos da carteira do dedo ou cartões de crédito vinculados à conta — uma atividade tratada uma vez que negócio por esses grupos.

O Teste que Comprovou a Irregularidade

O pesquisador Poncho (@PorkPoncho) foi além do relato e decidiu testar a vulnerabilidade na prática. Com a permissão de sua mana e com ela presente na mesma sala, ele conseguiu invadir a conta PSN dela, mudar o e-mail, a senha e tomar controle totalidade — unicamente contatando o suporte da Sony.

“Para fazer isso foi assustadoramente fácil e levou muito pouco tempo. Uma vez que cheguei a um humano no chat de suporte, levou muro de 30 minutos, e eu não precisei da senha PSN dela, dados de cartão ou qualquer informação privada específica.”

A única informação relevante que ele precisou fornecer foi detalhes de uma compra recente na conta — um oferecido que, dependendo do contexto, pode ser obtido de diversas formas. Poncho compartilhou as evidências do teste com pessoas da dimensão e afirmou que não divulgará publicamente o método exato utilizado para não facilitar ataques.

O Diagnóstico: Agentes Baratos, Processos Inexistentes

A estudo de Poncho aponta diretamente para a raiz do problema: segundo ele, a Sony claramente emprega agentes de suporte de reles dispêndio em partes do mundo onde a mão de obra é mais barata, sem impor processos ou procedimentos de segurança rigorosos a esses atendentes.

“Não há uma vez que eles não saberem disso, e não há uma vez que não saberem que isso é um problema há um tempo significativo.”

A sátira se estende ao caso de Colin Moriarty: ele conseguiu restabelecer o chegada em menos de 24 horas, mas somente porque utilizou sua influência uma vez que figura pública para contatar diretamente o setor de relações públicas da Sony. Para um usuário generalidade, o caminho é infinitamente mais tortuoso — e há ainda um agravante: posteriormente uma conta ser devolvida ao possessor legítimo, os invasores têm um método de fazê-la ser banida repetidamente, usando isso uma vez que utensílio de roubo contra o proprietário original.

O Que a Sony Precisa Fazer

Poncho encerrou seu thread com um apelo direto à Sony: a empresa precisa não unicamente emendar as brechas que permitem o chegada indevido, mas também gerar um sistema confiável e jeitoso para que vítimas recuperem suas contas sem depender de influência pessoal ou sorte no atendimento.

Até o momento, a Sony não se pronunciou publicamente sobre os casos relatados.

Confira nosso vídeo mais recente!