04.07.2019 в 10:05 Evernews

СМИ: у PlayStation годами существует уязвимость в системе платежей

Sony якобы знает о проблеме, но не считает ее уязвимостью.

В платежной системе PlayStation Network, пишет MP1ST, существует уязвимость, позволяющая совершать покупки с кредитной карты, привязанной к аккаунту, без ввода подтверждающих кодов. С ее помощью хакеры могут тратить деньги владельца аккаунта, не обладая информацией о кредитках жертвы.

Обычно при использовании карты CVV-код требуется ввести только один раз; если сохранить данные кредитки, то следующие покупки совершаются простым нажатием кнопки в интерфейсе. Однако при смене консоли система потребует ввести CVV-код еще раз, чтобы подтвердить личность владельца.

С помощью уязвимости — журналисты описывают этот эксплойт как очень простой в реализации — можно обойти это ограничение и пользоваться кредиткой без повторного ввода CVV-кодов. По словам собеседника MP1ST, нашедшего уязвимость, о ее существовании сообщили Sony, однако компанию это не заинтересовало.

Я ничего не понял
Если ваш аккаунт PlayStation Network украдут, а затем введут его данные на другой консоли, то потребуется ввести CVV-код кредитки, чтобы пользоваться вашими деньгами. Эксплойт снимает это ограничение и дает возможность закупить игр за чужой счет.

Как утверждает один из моддеров, работающих с консолями Sony, уязвимость работает не на уровне консоли, а на уровне PlayStation Network. Судя по скриншоту переписки с Sony, в компании считают, что речь идет о мошенничестве, а не об эксплойте самой системы.

В большинстве случаев использование эксплойта связано с системой семейного доступа. К украденному аккаунту подключается новый профиль, затем на него закупаются игры, после этого аккаунт отключается, а консоль, где он использовался, переводится в режим оффлайн. Если не выходить в сеть, то такая система может работать очень долго.

Журналисты нашли по меньшей мере десяток историй, связанных с использованием такого эксплойта, и запросили комментарии у Sony. Представители компании пока не ответили на запрос.