Un giornalista francese è diventato suo malgrado protagonista di una vicenda che solleva seri interrogativi sulla sicurezza degli account PlayStation Network. Nicolas Lellouche, che scrive per la testata transalpina Numerama, ha visto il proprio profilo PSN compromesso per ben tre volte consecutive, nonostante avesse attivato tutte le protezioni disponibili.
La storia, raccontata dallo stesso giornalista, svela una vulnerabilità preoccupante nel sistema di verifica della proprietà degli account Sony.
Il meccanismo utilizzato dal malintenzionato si basa su una debolezza intrinseca del processo di recupero account. Per dimostrare di essere il legittimo proprietario di un profilo PSN, il sistema richiede semplicemente il numero identificativo di una transazione effettuata in passato.
L'hacker è riuscito a ottenere questa informazione grazie a uno screenshot pubblicato incautamente dalla vittima stessa, contenente dettagli sensibili del proprio account.
Tuttavia, il punto critico della questione non risiede solo nell'ingenuità dell'utente. Ciò che risulta davvero allarmante è l'assenza totale di filtri di sicurezza aggiuntivi: il cybercriminale ha potuto inoltrare tre richieste consecutive di recupero account senza che alcun campanello d'allarme si attivasse nei sistemi di Sony.
Né la verifica in due passaggi né il passkey, strumenti generalmente considerati affidabili per proteggere i profili online, sono serviti a prevenire l'accesso non autorizzato.
La disavventura di Lellouche non si è limitata al furto iniziale. Dopo il primo attacco, durante il quale l'hacker ha modificato email e password oltre a effettuare acquisti con i metodi di pagamento collegati, il giornalista è riuscito temporaneamente a riappropriarsi dell'account contattando l'assistenza PlayStation.
Ma la vittoria è stata effimera: l'account gli è stato sottratto una seconda e poi una terza volta, evidenziando l'inefficacia delle procedure di recupero attualmente in vigore.
L'epilogo della vicenda assume contorni quasi surreali. Lo stesso hacker ha contattato il giornalista, trascorrendo con lui un'intera serata a spiegargli nel dettaglio come fosse riuscito a violare l'account.
Da questo insolito confronto sono emersi tutti i particolari tecnici della falla di sicurezza, inizialmente descritta da Lellouche in termini generici come "grave vulnerabilità" e successivamente documentata con dovizia di dettagli.
Il metodo utilizzato dai cybercriminali, come rivelato, prevede una vera e propria caccia sistematica alle immagini condivise online dagli utenti PlayStation. Screenshot che mostrano indirizzi email, storico transazioni o altri dettagli degli account rappresentano un vero tesoro per chi vuole impossessarsi di profili altrui.
In un'epoca dominata dai social media, dove ogni momento della vita videoludica viene documentato e condiviso, la quantità di informazioni sensibili che circolano in rete è potenzialmente enorme.
Al momento Sony non ha rilasciato dichiarazioni ufficiali sulla questione, lasciando gli utenti nell'incertezza riguardo all'effettiva portata del problema. Lellouche stesso si trova in una situazione paradossale: dopo aver tentato invano di recuperare definitivamente il proprio account attraverso i canali ufficiali, ora può solo sperare nella buona volontà dell'hacker che glielo restituisca spontaneamente.
Una situazione che dimostra quanto le procedure di assistenza attuali risultino inadeguate di fronte a questo tipo di attacchi.
La vicenda solleva interrogativi urgenti sulla necessità di implementare controlli più stringenti nei processi di recupero account.
Se è vero che evitare di condividere screenshot contenenti dati sensibili rappresenta una buona prassi di sicurezza informatica, resta il fatto che un sistema di protezione robusto non dovrebbe basarsi unicamente sulla prudenza degli utenti. Sony si trova ora di fronte alla responsabilità di verificare approfonditamente la vulnerabilità segnalata e di rafforzare i propri sistemi di sicurezza prima che altri utenti subiscano la stessa sorte del giornalista francese.
