索尼PSN賬號系統(tǒng)曝致命漏洞，雙重驗證形同虛設

IT之家12月23日消息，法國媒體 Numerama 記者 Nicolas Lellouche 昨天在 X 平臺發(fā)文稱，他的索尼 PlayStation Network 賬號遭到了黑客入侵，即使他開啟了通行密鑰，平時只使用蘋果 iPhone 的 FaceID 登錄賬號。

記者發(fā)文截圖

Nicolas Lellouche 表示，一名黑客通過非常手段盜取了他的 PSN 賬號，成功更改了賬號綁定的電子郵箱以及密碼，甚至還使用了關聯(lián)的 PayPal 賬號進行了一筆9.99歐元（IT之家注：現(xiàn)匯率約合82.7元人民幣）的盜刷消費。

隨后他發(fā)布博文，詳細解釋整件事情的經(jīng)歷，他最初打電話聯(lián)系了索尼客服，等待40分鐘后接通，對方的態(tài)度異常輕松，只花了5分鐘就幫他找回了賬號，隨后他迅速重新設置了密碼和通行密鑰，并發(fā)現(xiàn)黑客刪除了所有好友、聊天記錄、頭像等。

這名記者發(fā)現(xiàn)黑客自稱“Derol Bodden”，這個人有多個類似前綴的賬號，這讓他懷疑自己并非唯一受害者，并且黑客還在當天18:04重復了同樣盜號流程，而且最絕望的是，這時候索尼客服下班了，美國那邊的客服也拒絕提供協(xié)助。

黑客自稱“Derol Bodden” ▲ 圖源：Nicolas Lellouche，，下同

之后他只能嘗試自救，先是新建了一個 PlayStation 賬號，然后給原來的大號發(fā)消息。

隨后對面那頭的黑客給他回復了消息，這人先是嘲諷了一番，然后讓這名記者繼續(xù)找客服：“我隨時都能盜你號，客服攔不住我”。

但這名黑客在后續(xù)變得愿意交流，并透露了自己盜號的表面方式：“我用你在某個社媒公開發(fā)布的訂單截圖，找到交易編號，隨后黑進了你的賬號”。

黑客透露了自己盜號的表面方式

不過這名黑客的用詞存在許多紕漏，記者懷疑他并非英語母語者。

隨后他給出了真正的盜號方式：首先拿到訂單編號，然后找到索尼客服，發(fā)送這么一條消息：“我的賬號 LellNico 被盜了，這是我2020年的一筆交易訂單號……，你能幫我找回賬號嗎”？

然后索尼就允許他更換賬號郵箱，全程沒有要求提供出生日期、城市、父母姓氏等密保問題，一個賬單編號就成了“萬能鑰匙”。

并且，索尼不僅接受交易編號作為找回方式，還能用主機序列號、信用卡卡號后四位，等于說換郵箱、換昵稱、換支付方式都沒有，黑客只需要從你的社媒翻一翻，看看你有沒拍過主機底部或者曬過訂單截圖就行。

最后，索尼官方派了一位真正能理解問題的客服人員來協(xié)助找回賬號，這次的流程明顯嚴格許多，要求這名記者提供出生日期、原始郵箱、原始昵稱，但目前他的賬號還沒有找回，處理流程大概需要5-10天。

另外，黑客還在繼續(xù)挑釁他：“沒人能找到我，我還是能繼續(xù)黑你的號”。