Falha do PSN já corrigida, mas contas filho invasoras permanecem, diz pesquisador
Invasores adicionavam contas 'filho' a grupos PlayStation Family de vítimas sem senha e sem disparar o 2FA; essas contas podiam ver dados da conta e comprar na PlayStation Store com pagamento vinculado. A Sony investiga o caso e pagou US$ 5 mil ao pesquisador holandês que reportou a falha, já corrigida, mas, segundo ele, as contas plantadas permanecem. Revise o Family Management, acione o suporte para contas desconhecidas e mantenha 2FA ou passkeys.
O que aconteceu
Usuários do PlayStation Network relataram contas desconhecidas adicionadas ao compartilhamento familiar sem senha e sem disparar a autenticação em dois fatores. A Sony confirmou que investiga o caso. Um pesquisador holandês afirma que a falha foi corrigida e que recebeu US$ 5 mil da Sony, mas diz que as contas invasoras plantadas continuam ativas.
Por que importa
Cada conta invasora podia ver dados pessoais da vítima e, conforme o controle parental, comprar na loja com a forma de pagamento vinculada. Segundo o pesquisador, invasores usaram essas compras para o suporte da Sony entregar a conta principal, mesmo com 2FA ou passkeys; um usuário relata perda de uma conta de 12 anos com 250 jogos digitais. Contas filho não podem ser simplesmente removidas pelo usuário, o que dificulta a recuperação.
O que fazer
Revise agora o Family Management das contas PSN e acione o suporte da Sony se houver contas desconhecidas. Remova ou revise as formas de pagamento vinculadas enquanto verifica. Mantenha 2FA ou passkeys ativos, embora o pesquisador diga que foram burlados neste caso.
Para o time técnico
- Afetados
- Sony PlayStation Network (contas PSN) · Contas do PlayStation Network que usam PlayStation Family / compartilhamento familiar. Nenhuma versão de produto citada.
- Exploração
- Exploração relatada por usuários em redes sociais; a Sony confirmou que investiga. O pesquisador holandês que reportou a falha afirmou ao IntCyberDigest que ela está corrigida e que recebeu US$ 5 mil da Sony, mas que as contas plantadas permanecem. Sem CVE, KEV ou PoC pública citados.
- Correção
- Correção já aplicada no PSN, segundo o pesquisador e a linha do tempo do incidente; sem versão ou patch específico citado. Mitigação: revisar o Family Management e acionar o suporte da Sony para remover contas filho desconhecidas, já que o usuário não pode removê-las diretamente, segundo o @Pirat_Nation.
- Vetor
- PlayStation Network (PSN), recurso PlayStation Family. A falha permitia plantar contas 'filho' no grupo familiar da vítima sem a senha e sem disparar o 2FA. Com a conta plantada, o invasor podia acessar informações da conta e, dependendo das configurações de controle parental, fazer compras na PlayStation Store com forma de pagamento vinculada. Segundo o pesquisador, as compras levaram o suporte a entregar a conta principal ao invasor, mesmo com 2FA ou passkeys.
- Mais detalhes
- Cadeia relatada: conta filho plantada sem senha e sem 2FA, compras na PlayStation Store e, com esse histórico, o suporte entrega a conta principal ao invasor, burlando 2FA e passkeys. Descoberta creditada a um pesquisador holandês, recompensado com US$ 5 mil pela Sony. Linha do tempo: relatos de usuários e abertura do incidente em 26/10/2026; Sony confirma investigação no mesmo dia; em 27/10/2026 o pesquisador revela a falha corrigida e a recompensa; usuário @HazzadorGamin relata perda de conta de 12 anos com 250 jogos digitais e 94 troféus de platina.
Linha do tempo
Novo relato de usuário: conta PSN antiga, com 250 jogos digitais e 94 troféus de platina, foi perdida após invasão.
Pesquisador holandês revela falha já corrigida no PSN e recompensa de US$ 5 mil paga pela Sony.
Sony confirma que investiga o caso; invasores adicionam contas 'filho' a grupos PlayStation Family sem senha e sem disparar o 2FA, o que pode dar acesso a dados da conta e a compras na loja com forma de pagamento vinculada.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 4 atualizações
Incidente aberto.
Fontes 4 fontes
- @RinoTheBouncer @RinoTheBouncer
- @Pirat_Nation @Pirat_Nation
- @IntCyberDigest @IntCyberDigest
- @HazzadorGamin @HazzadorGamin
