PSN被盜號(hào)只需兩個(gè)數(shù)字？2FA全程開啟仍被秒破，索尼客服成最大漏洞

3天前，一群黑客用PSN ID和一筆購買記錄，就能把你的賬號(hào)據(jù)為己有。這不是釣魚，不是撞庫，是你開了兩步驗(yàn)證都沒用的那種。

這波PSN盜號(hào)潮的規(guī)模正在擴(kuò)大，而索尼官方至今沒有給出任何回應(yīng)，更別提防護(hù)建議了。

事情最早由播客主Colin Moriarty曝光。他在推特上描述了自己的遭遇：郵箱突然被數(shù)百封垃圾郵件淹沒，來源包括SubStack、EA、AliExpress、Slack——很多他根本沒注冊(cè)過的平臺(tái)。緊接著，短信提示PSN郵箱被改，再然后，2FA被關(guān)閉。

等他反應(yīng)過來，賬號(hào)已經(jīng)易主。所有登錄信息被篡改，他失去了控制權(quán)。

Moriarty強(qiáng)調(diào)自己"完全沒有被釣魚，沒點(diǎn)任何鏈接，沒隨便輸密碼"，并且確認(rèn)2FA當(dāng)時(shí)是開啟狀態(tài)。按常理，這足以擋住絕大多數(shù)攻擊。但黑客繞過了這一切。

根據(jù)受害者的反饋，這波攻擊的關(guān)鍵在于索尼的客服渠道。黑客只需要提供兩樣?xùn)|西：你的PSN ID，以及一筆購買記錄的示例。據(jù)稱，這就能讓索尼客服相信對(duì)方是賬號(hào)持有者，從而移交控制權(quán)。

換句話說，你的密碼復(fù)雜度、郵箱安全性、2FA開關(guān)，統(tǒng)統(tǒng) irrelevant。攻擊面轉(zhuǎn)移到了索尼內(nèi)部流程——而那里， apparently 沒什么驗(yàn)證門檻。

內(nèi)容創(chuàng)作者Genki Gamer也中招了。黑客用他的賬號(hào)購買了Robux，好在后來退款成功。但至少說明，賬號(hào)被盜后會(huì)被立即用于消費(fèi)，時(shí)間窗口極短。

這并非孤例。去年12月，科技記者Nicolas Lellouche就遭遇多次盜號(hào)。他當(dāng)時(shí)推測(cè)攻擊手段是利用交易ID（transaction ID）欺騙PlayStation客服。結(jié)合本次事件的細(xì)節(jié)，方法很可能如出一轍：用購買記錄中的某筆交易信息，冒充身份通過客服驗(yàn)證。

如果屬實(shí)，這意味著攻擊者獲取PSN ID和交易記錄的方式，成了關(guān)鍵疑問。

Moriarty提出了兩種可能性：一是內(nèi)部人員泄露，有人能接觸到PSN用戶數(shù)據(jù)并對(duì)外出售；二是某次數(shù)據(jù)泄露中被竊取的信息，現(xiàn)在才被集中利用。無論哪種，都指向同一個(gè)問題——用戶側(cè)幾乎無法防御。

你改再強(qiáng)的密碼沒用。你綁硬件密鑰沒用。你甚至不知道自己的購買記錄是怎么流出去的。

目前索尼尚未就此事發(fā)表任何聲明。沒有承認(rèn)漏洞，沒有安撫用戶，沒有臨時(shí)加固措施，更沒有"我們正在調(diào)查"的標(biāo)準(zhǔn)話術(shù)。一片沉默。

對(duì)普通玩家來說，現(xiàn)狀相當(dāng)尷尬。理論上你能做的：檢查郵箱有沒有異常登錄提醒，留意索尼的短信通知，發(fā)現(xiàn)郵箱被改立即嘗試凍結(jié)支付渠道。但這些都是在被盜之后的止損，而非預(yù)防。

真正的預(yù)防手段——比如讓索尼客服加強(qiáng)身份核驗(yàn)——不在用戶掌控范圍內(nèi)。

一個(gè)值得注意的細(xì)節(jié)是，Moriarty提到攻擊目標(biāo)"既有隨機(jī)用戶，也有知名人士"。這暗示黑客可能批量獲取了PSN ID列表，而非針對(duì)性盯上某個(gè)大V。如果你的ID在某個(gè)數(shù)據(jù)泄露事件中被關(guān)聯(lián)了購買記錄，風(fēng)險(xiǎn)是均等的。

至于購買記錄從何而來，目前無確切說法。可能是過往泄露的數(shù)據(jù)庫，可能是第三方商戶的漏洞，也可能是索尼內(nèi)部的問題。在官方表態(tài)之前，都是推測(cè)。

對(duì)國內(nèi)玩家而言，這件事還有一層特殊性。PSN國區(qū)賬號(hào)體系相對(duì)獨(dú)立，但港服、日服、美服賬號(hào)大量存在。如果你的賬號(hào)注冊(cè)在境外服務(wù)器，同樣暴露在這次風(fēng)險(xiǎn)中。而跨境維權(quán)的難度，懂的都懂。

眼下能做的，大概是翻翻自己的郵箱，看看有沒有來自PlayStation的異常通知。如果有"您的登錄郵箱已更改"這類短信，而你沒有主動(dòng)操作過，那就是信號(hào)。

另外，檢查與PSN綁定的支付方式。信用卡、PayPal、支付寶——任何能直接扣款的渠道，考慮暫時(shí)解綁或設(shè)置限額。被盜號(hào)后的典型操作就是瘋狂購買游戲幣或虛擬商品，能擋住資金損失也是好的。

但說到底，這是索尼該修的漏洞，不是用戶該扛的風(fēng)險(xiǎn)。用PSN ID加一筆購買記錄就能換賬號(hào)控制權(quán)，這個(gè)流程設(shè)計(jì)本身就有問題。2FA的存在意義被架空，安全架構(gòu)出現(xiàn)了單點(diǎn)失效。

玩家社區(qū)目前的情緒，與其說是憤怒，不如說是無力。你做了所有"正確的事"——強(qiáng)密碼、2FA、不點(diǎn)可疑鏈接——結(jié)果黑客從另一條路進(jìn)來了，而這條路是廠商自己留的。

Colin Moriarty在后續(xù)更新中提到，他正在與索尼方面溝通，試圖找回賬號(hào)。但對(duì)于更多沒有媒體影響力的普通用戶來說，客服渠道的體驗(yàn)可想而知。排隊(duì)、轉(zhuǎn)接、重復(fù)描述問題、被要求提供"證明你是你"的材料——而諷刺的是，黑客正是利用這套證明機(jī)制的寬松，才得手的。

Genki Gamer的Robux被退款，算是不幸中的萬幸。更多人可能連申訴入口都找不到，或者發(fā)現(xiàn)時(shí)余額已被清空。

索尼需要回應(yīng)的，不只是這次事件本身，而是客服驗(yàn)證流程的設(shè)計(jì)邏輯。當(dāng)2FA都能被客服渠道一鍵繞過，整個(gè)安全體系就成了擺設(shè)。

在此之前，玩家能做的防御極其有限。而廠商的沉默，本身就是一種答案。