Η πρόσφατη κυβερνοεπίθεση σε εξέχουσες προσωπικότητες του gaming κοινού αποκαλύπτει μια σοκαριστική αλήθεια: Η μεγαλύτερη απειλή για την ασφάλειά μας δεν είναι οι εξελιγμένοι ιοί, αλλά το ίδιο το Customer Support της Sony.
Το timing δεν θα μπορούσε να είναι χειρότερο για τη Sony. Σε μια περίοδο που η κοινότητα του gaming αντιμετωπίζει με σκεπτικισμό τις αυξήσεις στις τιμές των συνδρομών PlayStation Plus και την επιλεκτική απουσία single-player τίτλων από τα PC, ένα νέο, σοβαρότερο κύμα ανησυχίας έρχεται να σαρώσει το PlayStation Network (PSN). Οι λογαριασμοί των χρηστών, ακόμα και εκείνων που θεωρούνταν «οχυρωμένοι» πίσω από περίπλοκους κωδικούς και συστήματα ασφαλείας, παραβιάζονται ο ένας μετά τον άλλον.
Και το πιο ανησυχητικό; Οι χάκερ δεν χρειάζεται καν να αποκωδικοποιήσουν τα passwords μας. Τους τα προσφέρει η ίδια η Sony στο πιάτο.
Το χρονικό μιας προαναγγελθείσας παραβίασης
Η υπόθεση πήρε διαστάσεις θρίλερ όταν ο Colin Moriarty, βετεράνος δημοσιογράφος της βιομηχανίας, ιδιοκτήτης της Last Stand Media και οικοδεσπότης του δημοφιλέστερου ίσως PlayStation podcast παγκοσμίως, είδε τον προσωπικό του λογαριασμό να κάνει «φτερά».
Η ιστορία του Moriarty θυμίζει σενάριο κυβερνοεκβιασμού. Δύο ημέρες πριν από την επίθεση, ένα άλλο θύμα τον προειδοποίησε στο X (πρώην Twitter) ότι μια ομάδα χάκερ είχε βάλει στο στόχαστρο τα στοιχεία του και ότι η παραβίαση ήταν θέμα χρόνου. Παρά την ακραία προσοχή που επέδειξε ο Moriarty —αποφεύγοντας κάθε ύποπτο σύνδεσμο (phishing) και διατηρώντας ενεργοποιημένο τον έλεγχο ταυτότητας δύο παραγόντων (2FA)— η απειλή πραγματοποιήθηκε.
Το θράσος των δραστών έφτασε σε τέτοιο σημείο, ώστε χρησιμοποίησαν τον λογαριασμό του Moriarty για να στείλουν μήνυμα στον συνεργάτη του, Dustin Furman, με τη φράση: «Εσύ είσαι ο επόμενος».
Το παράδοξο της υποστήριξης
Όταν ο Moriarty επικοινώνησε με το επίσημο support της Sony για να αναφέρει τη στοχοποιημένη επίθεση σε media προσωπικότητες και απλούς παίκτες, βρέθηκε αντιμέτωπος με ένα τείχος γραφειοκρατίας. Η υποστήριξη δήλωσε πλήρη άγνοια, εκτίμησε τον χρόνο επίλυσης στις τρεις εβδομάδες και το μόνο που έκανε άμεσα ήταν να αφαιρέσει τα στοιχεία της πιστωτικής του κάρτας. Αν ο Moriarty δεν διέθετε υψηλές γνωριμίες εντός της βιομηχανίας για να παρακάμψει την τυπική διαδικασία, ο λογαριασμός του θα παρέμενε στα χέρια των χάκερ για μέρες. Για τον μέσο παίκτη, όμως, αυτή η πολυτέλεια δεν υπάρχει.
Social Engineering: Η αχίλλειος πτέρνα της Sony
Πώς είναι δυνατόν να παραβιάζεται ένας λογαριασμός όταν ο χρήστης έχει ενεργοποιημένο το 2FA; Την απάντηση έδωσε ο γνωστός αναλυτής Pyo στο X, ξεσκεπάζοντας μια τρομακτική ευπάθεια στις εσωτερικές διαδικασίες της Sony.
Δεν πρόκειται για κάποιο software exploit, αλλά για την κλασική μέθοδο του Social Engineering (Κοινωνική Μηχανική). Οι χάκερ εκμεταλλεύονται το ίδιο το σύστημα υποστήριξης της εταιρείας. Τα μόνα «όπλα» που χρειάζονται είναι:
- Το PSN ID (το δημόσιο όνομα του παίκτη).
- Μερικά στοιχεία παλαιότερων συναλλαγών (όπως ένας παλιός αριθμός παραγγελίας ή τα τέσσερα τελευταία ψηφία μιας ληγμένης πιστωτικής κάρτας).
Οπλισμένοι με αυτές τις πληροφορίες —οι οποίες συχνά διαρρέουν από παλαιότερες παραβιάσεις βάσεων δεδομένων τρίτων (data breaches)— οι χάκερ επικοινωνούν με το support της Sony προσποιούμενοι τους κατόχους που «έχασαν την πρόσβαση στο email τους». Οι υπάλληλοι της υποστήριξης, ακολουθώντας χαλαρά πρωτόκολλα ταυτοποίησης, πείθονται, αλλάζουν το συνδεδεμένο email με αυτό των χάκερ και απενεργοποιούν χειροκίνητα το 2FA. Με μια κίνηση, ο νόμιμος κάτοχος κλειδώνεται έξω από το ψηφιακό του περιουσιακό στοιχεία.
| Στάδια της Παραβίασης | Πώς Λειτουργεί |
| 1. Συλλογή Στοιχείων | Ο χάκερ βρίσκει το PSN ID και ένα παλιό Transaction ID του στόχου. |
| 2. Παράκαμψη Ασφάλειας | Επικοινωνεί με το Support της Sony, παρακάμπτοντας το 2FA του χρήστη. |
| 3. Κατάληψη (Hijack) | Το Support αλλάζει το email και ο χάκερ αποκτά τον πλήρη έλεγχο. |
Η σιωπή δεν είναι χρυσός
Μέχρι στιγμής, η Sony τηρεί σιγή ιχθύος. Η απουσία επίσημης τοποθέτησης διογκώνει την ανασφάλεια των χρηστών, οι οποίοι συνειδητοποιούν ότι η ψηφιακή τους βιβλιοθήκη, με παιχνίδια αξίας εκατοντάδων ή χιλιάδων ευρώ, κρέμεται από την κρίση ενός υπαλλήλου στην εξυπηρέτηση πελατών.
Σε μια εποχή που το gaming μετακινείται ολοκληρωτικά σε ψηφιακή μορφή (digital-only), η εμπιστοσύνη στην πλατφόρμα είναι το παν. Αν η Sony θέλει να δικαιολογήσει το premium status που διεκδικεί στην αγορά, πρέπει να αναβαθμίσει άμεσα τα εσωτερικά της πρωτόκολλα ασφαλείας. Η ανθρώπινη αφέλεια ή η ελλιπής εκπαίδευση του προσωπικού δεν μπορεί να αποτελεί την κερκόπορτα για τις οικονομίες και τα προσωπικά δεδομένα των παικτών.
Μέχρι τότε, η συμβουλή προς τους κατόχους PlayStation είναι μία: Κρατήστε αρχείο των συναλλαγών σας, ελέγχετε τα email σας για ύποπτες ειδοποιήσεις αλλαγών και ελπίστε ότι το όνομά σας δεν θα βρεθεί στην επόμενη λίστα των χάκερ.
By
