Jogadores da PlayStation Network estão a encontrar nas suas contas membros infantis que nunca adicionaram. Os relatos apontam para um problema que ultrapassa a palavra-passe e a autenticação de dois fatores, e que pode dar a desconhecidos acesso a dados pessoais e a métodos de pagamento guardados.
A Sony confirmou que está a investigar a situação numa declaração enviada ao jornal japonês Sankei Shimbun.
Como funciona o esquema
Os relatos indicam que os atacantes conseguem inserir-se num Grupo de Família como se fossem menores. Dependendo dos controlos parentais ativos, uma conta infantil pode jogar e fazer compras na PlayStation Store com os métodos de pagamento associados, o que torna este cenário particularmente preocupante. Há também quem receie que, a partir daí, seja possível ver informação da conta, como o nome completo.
O que complica a situação é a forma como o sistema está desenhado. A própria Sony explica na sua página de ajuda que os membros infantis não podem ser removidos da família, algo que o responsável só consegue fazer com adultos. Por isso, quem encontra uma conta que não conhece no seu Grupo de Família não a consegue apagar através das definições da consola e tem de recorrer ao suporte da PlayStation.
Há ainda um pormenor que pode tornar a recuperação mais difícil. Um investigador que comunicou uma falha ligada às contas familiares à PlayStation, através do programa de recompensas por descoberta de vulnerabilidades, e que terá recebido 5000 dólares, avisa que as passkeys adicionadas por um atacante sobrevivem à alteração da palavra-passe e do email. Mudar as credenciais, por si só, pode portanto não bastar.
Num dos casos, um utilizador do Reddit encontrou cinco contas infantis não autorizadas ligadas à sua conta principal. O utilizador conta que ainda conseguia aceder à conta principal e que já tinha alterado a palavra-passe do email, desativado as consolas associadas e removido os métodos de pagamento. Outro utilizador descreve que acordou com o email da conta alterado.
Os casos parecem concentrar-se sobretudo no Japão, mas o problema não é exclusivo desse país. Também não é totalmente novo, existem relatos no Reddit com três anos que descrevem uma situação muito semelhante, com uma conta infantil desconhecida a fazer compras com o cartão do titular.
