Francuski dziennikarz Nicolas Lellouche poinformował na X/Twitterze, że jego konto PlayStation Network zostało zhakowane ponownie – sześć miesięcy po tym, jak nagłośnił krytyczny problem w procedurach wsparcia Sony. Według jego relacji firma przez cały ten czas nie zamknęła luki, która może – w ramach procedur odzyskiwania konta – umożliwiać przejęcie konta PSN przy użyciu danych z jednej transakcji, choć nie chodzi tu o techniczne złamanie infrastruktury PSN. Weryfikacja dwuetapowa i klucze dostępu nadal chronią przed klasycznym przejęciem konta, ale mogą nie wystarczyć, jeśli dane zostaną ręcznie zmienione przez support.
Czy Sony naprawdę nic nie zrobiło z luką w PlayStation Network przez pół roku?
Problem opisany według relacji Lellouche’a jest prosty w mechanice i trudny do zignorowania. Nie chodzi o łamanie haseł ani obchodzenie szyfrowania, lecz o manipulację pracownika supportu i procedury odzyskiwania konta. Według tej relacji mógł wystarczyć numer transakcji – czyli ciąg cyfr widoczny na przykład na zrzucie ekranu z historią zakupów – jako jeden z elementów weryfikacji przy kontakcie z działem wsparcia Sony jako „właściciel konta”. Obsługa klienta mogła następnie zmienić adres e-mail i ograniczyć dotychczasowy dostęp. Weryfikacja dwuetapowa i klucze dostępu zwykle nie pomagają w takim scenariuszu, jeśli zmiany są wykonywane ręcznie przez support.
Lellouche opisał ten problem po raz pierwszy w grudniu 2025 roku. Sprawa szybko stała się głośna i obiegła redakcje na całym świecie. Jak poinformował serwis Wccftech, według relacji Lellouche’a na jego koncie pojawiła się wewnętrzna flaga o treści „konto wysokiego ryzyka, obsługa klienta nie powinna interweniować”. Nie wiadomo jednak, czy towarzyszyły temu szersze zmiany w samych protokołach lub dodatkowy system weryfikacji.
Pamiętacie włamanie na moje konto PlayStation, które obiegło cały świat, a Sony wciąż tego nie naprawiło? Ubiegłej nocy włamano mi się znowu.
~ Lellouche
Nieskuteczna flaga bezpieczeństwa i drugie włamanie na profil dziennikarza
Ochrona w postaci specjalnego oznaczenia konta działała zaledwie sześć miesięcy. Nowe włamanie pokazuje, że nawet taka bariera może nie być trwała – albo że dział wsparcia Sony nie trzyma się własnych procedur. Lellouche podkreślił, że dopóki luka nie zostanie faktycznie usunięta, ten sam błąd mógłby pozostać wykorzystywany. Konsekwencje są istotne: ktoś z zewnątrz mógłby w pewnych warunkach przejąć konto i ograniczyć dostęp użytkownika do całej cyfrowej biblioteki gier.
Nowe włamanie różni się od grudniowego pod jednym istotnym względem. Tym razem intruz nie zmienił identyfikatora konta i grał w inne tytuły niż poprzedni napastnik. Pierwotnie podejrzewano, że za atakiem może stać ta sama osoba, działająca odwetowo. Teraz wygląda na to, że mógł to być zupełnie inny sprawca, co sugerowałoby, że wiedza o tej metodzie krąży szerzej.
To absurd, że tak łatwo zmienić adres e-mail, całkowicie zablokować stary adres i usunąć klucz dostępu. Fakt, że PlayStation zachowuje się, jakby nie było żadnego problemu, doprowadza mnie do rozpaczy.
~ Lellouche
Jeden numer transakcji mógł wystarczyć do próby przejęcia konta
Metoda opisywana przez Lellouche’a jest tak prosta, że trudno uwierzyć, iż Sony nie zamknęło tej furtki przez pół roku. Haker nie musi posiadać hasła, danych karty płatniczej ani dostępu do urządzenia ofiary. Według tej relacji mógł potrzebować numeru transakcji – czyli czegoś, co użytkownicy publikują codziennie na profilach społecznościowych, forach czy w grupach gamingowych. Zrzuty ekranu z historią zakupów, potwierdzenia zamówień wklejane na czaty, screeny z premiery nowej gry – każdy z tych materiałów potencjalnie może zawierać dane, które były jednym z elementów weryfikacji przy próbie odzyskania konta.
To odwraca dotychczasową logikę bezpieczeństwa. Zazwyczaj radzono użytkownikom PSN, żeby nie ujawniali haseł ani danych płatniczych. Teraz szczególną ostrożność trzeba zachować także przy każdej liczbie widocznej na potwierdzeniach zakupów. Nawet pozornie nieistotny numer zamówienia może w takim scenariuszu pomóc przy próbie zmiany danych konta.
Nie znaleziono publicznego oświadczenia Sony w tej sprawie. Skala problemu pozostaje nieznana, a firma nie odniosła się publicznie do pytań mediów dotyczących planowanych zmian w procedurach weryfikacji tożsamości przez dział wsparcia.
Co zrobić, aby zabezpieczyć cyfrową bibliotekę gier przed kradzieżą?
Dopóki Sony nie zmieni procedur obsługi klienta, jedynym realnym zabezpieczeniem jest kontrola nad tym, co udostępniacie publicznie. Nie wrzucajcie do mediów społecznościowych zrzutów ekranu zawierających numery transakcji. Nie dzielcie się potwierdzeniami zakupów ani historią płatności – nawet w prywatnych grupach. Każdy taki detal może posłużyć jako narzędzie weryfikacji tożsamości w rozmowie z działem wsparcia PlayStation.
Weryfikacja dwuetapowa i klucze dostępu nadal chronią przed klasycznym przejęciem konta. Problemem nie jest samo zabezpieczenie cyfrowe, lecz ludzki element – procedura odzyskiwania konta, według której pracownicy działu wsparcia Sony mogą zmienić dane konta na podstawie jednego numeru, bez dodatkowej weryfikacji przez e-mail czy telefon powiązany z kontem.
Przypadek Lellouche’a jest o tyle dotkliwy, że jako dziennikarz nagłośnił problem i wywołał globalną dyskusję – a mimo to, według jego relacji, padł ofiarą identycznego ataku po raz drugi. Dla zwykłego użytkownika, który nie ma ani zasięgów medialnych, ani kontaktów w branży, odzyskanie konta może być znacznie trudniejsze.
Nie znaleziono publicznych informacji o terminie naprawy ani oficjalnego potwierdzenia, że Sony pracuje nad zmianą procedur w dziale wsparcia. Tekst opiera się na relacji Nicolasa Lellouche’a oraz doniesieniach mediów branżowych. Sony nie potwierdziło publicznie szczegółów opisywanej procedury.
Assassin’s Creed Black Flag Resynced sprzedał ponad 3 mln kopii w tydzień! Ubisoft zapowiada NG+
Wielu członków kierownictwa studiów Xboxa ma „absolutnie nie znosić” Game Passa
