Les inquiétudes autour de la sécurité des comptes PlayStation refont surface. Un nouveau membre connu de la communauté PS5 affirme avoir perdu l’accès à son compte malgré plusieurs tentatives pour changer son mot de passe et réactiver la double authentification. L’affaire rappelle plusieurs cas similaires signalés plus tôt cette année, où des pirates auraient réussi à contourner les protections classiques en exploitant surtout les procédures de récupération de compte. Pour les joueurs qui possèdent des années d’achats numériques, de sauvegardes et de trophées, quelques précautions deviennent donc particulièrement importantes.
Un nouveau compte PlayStation connu vient d’être compromis
Le dernier cas concerne RealRadec, un membre bien connu de la communauté PlayStation suivi par plus de 30 000 personnes sur X.
Le 3 octobre, il a expliqué que son compte PlayStation avait été piraté. Selon son témoignage, il avait tenté de modifier son mot de passe, de déconnecter les appareils associés et de réactiver la vérification en deux étapes.
Malgré cela, l’adresse e-mail liée au compte aurait finalement été modifiée par l’attaquant, lui faisant perdre le contrôle du profil.
Ce nouveau signalement intervient quelques mois après celui de Colin Moriarty, animateur du podcast Sacred Symbols et ancien journaliste IGN PlayStation, qui avait lui aussi perdu temporairement l’accès à son compte avant de parvenir à le récupérer.
Ces deux affaires ont un point commun important : elles ne ressemblent pas forcément à un piratage traditionnel du PSN.
Le problème pourrait venir davantage de l’ingénierie sociale
Il serait trompeur de parler à ce stade d’une nouvelle brèche massive dans les serveurs Sony.
Les précédents incidents documentés évoquaient plutôt de l’ingénierie sociale : l’attaquant rassemble suffisamment d’informations sur une victime pour convaincre un service d’assistance qu’il est le véritable propriétaire du compte.
Plusieurs éléments potentiellement utilisables avaient notamment été évoqués :
- l’identifiant PSN ;
- l’adresse e-mail associée ;
- certaines informations liées à un achat ;
- une date ou un identifiant de transaction.
Pris séparément, ces éléments ne devraient pas suffire à récupérer un compte. Le problème apparaît lorsqu’ils sont combinés et utilisés pour passer les contrôles d’identité d’un service client.
C’est ce qui rend cette méthode inquiétante : un mot de passe très complexe ne protège pas forcément contre une récupération de compte frauduleuse si l’attaquant parvient à convaincre l’assistance qu’il est vous.
Votre PS5 elle-même n’est pas forcément piratée
Il faut aussi distinguer ce problème d’un autre sujet récent autour de la sécurité de la console.
Menow expliquait récemment que le piratage de la PS5 avait franchi un nouveau cap avec l’exploit Relapse, capable de fonctionner sur de nombreuses consoles restées sur d’anciens firmwares.
Ce jailbreak concerne directement le logiciel de la PS5.
Les comptes PSN compromis dont il est question ici relèvent d’un problème différent : c’est l’accès au compte PlayStation qui est visé, pas nécessairement la console elle-même.
Une PS5 parfaitement à jour peut donc être utilisée avec un compte mal protégé, tout comme un compte sécurisé peut être connecté sur plusieurs consoles.
Cette distinction est importante pour choisir les bonnes mesures de protection.
La clé d’identification est aujourd’hui la meilleure option proposée par Sony
Sony recommande désormais en priorité l’utilisation d’une clé d’identification, ou passkey.
Au lieu d’un mot de passe traditionnel, la connexion repose sur un appareil de confiance et peut être validée avec une empreinte digitale, une reconnaissance faciale ou le code de verrouillage du smartphone.
Pour l’activer :
Gestion du compte > Sécurité > Se connecter avec une clé d’identification > Créer une clé d’identification
La procédure peut également être lancée depuis une PS5 dans :
Paramètres > Utilisateurs et comptes > Compte > Sécurité > Se connecter avec une clé d’identification
Sony présente ce système comme une méthode de connexion plus sûre que le couple identifiant-mot de passe traditionnel.
Cela réduit notamment le risque de phishing, puisqu’il n’y a plus de mot de passe PlayStation classique à saisir sur une fausse page.
Si vous gardez un mot de passe, activez impérativement la double authentification
Tous les appareils ne permettent pas forcément d’utiliser une passkey dans de bonnes conditions.
Dans ce cas, la vérification en deux étapes reste indispensable.
Sony permet actuellement de recevoir les codes par SMS ou de les générer avec une application d’authentification.
Une fois la protection activée, connaître l’adresse e-mail et le mot de passe du compte ne suffit plus : une deuxième validation est requise lors de la connexion.
Une application d’authentification reste généralement préférable au SMS lorsque cette possibilité est proposée.
Le téléphone n’a alors pas besoin de recevoir un message sur le réseau mobile pour produire le code.
Conservez surtout vos codes de secours avant d’en avoir besoin
C’est probablement l’étape que beaucoup de joueurs oublient.
Lorsqu’on configure la vérification en deux étapes, PlayStation fournit des codes de secours permettant de récupérer l’accès au compte lorsque la méthode d’authentification habituelle n’est plus disponible.
Ils doivent être enregistrés dans un endroit sûr.
Sony prévient explicitement que si vous perdez l’accès au compte, vous ne pourrez plus consulter ces codes depuis les paramètres en ligne.
Sans eux, il faudra alors passer par la procédure d’identification de l’assistance PlayStation.
Autrement dit, le bon moment pour les sauvegarder est avant le problème.
Ne publiez jamais vos preuves d’achat PlayStation
Les joueurs partagent parfois des captures d’écran de leurs achats ou factures pour montrer une édition collector, une grosse bibliothèque ou une transaction inhabituelle.
C’est une mauvaise habitude.
Si des procédures de récupération reposent en partie sur la connaissance de transactions passées, il vaut mieux éviter d’exposer :
- identifiants de transaction ;
- numéros de commande ;
- adresse e-mail liée au PSN ;
- captures complètes de reçus ;
- informations de paiement ;
- dates d’achats accompagnées de détails trop précis.
Même une information apparemment anodine peut devenir utile lorsqu’elle est combinée avec d’autres données publiques.
Sony recommande plus généralement de ne jamais partager les informations liées au compte et de limiter les connexions aux appareils de confiance.
Vérifiez aussi les appareils sur lesquels votre compte reste connecté
Un ancien navigateur, une console vendue ou un appareil partagé peut conserver une session PlayStation active.
C’est particulièrement gênant si vous avez déjà utilisé votre compte chez quelqu’un d’autre.
Sony conseille de se déconnecter des appareils partagés après utilisation et permet également de procéder à une déconnexion à distance depuis la gestion du compte.
Profitez-en pour vérifier votre adresse e-mail principale.
Elle doit elle-même être correctement protégée.
Un compte PlayStation sécurisé avec une double authentification perd une grande partie de son intérêt si l’adresse e-mail servant à recevoir les messages de récupération utilise un mot de passe faible ou identique à celui d’autres services.
Que faire si votre compte PlayStation est déjà compromis ?
Certains signes doivent déclencher une réaction immédiate :
- mot de passe modifié sans votre intervention ;
- e-mail PlayStation annonçant une modification inconnue ;
- achats que vous n’avez pas effectués ;
- appareil inconnu connecté ;
- codes de vérification reçus sans tentative de connexion ;
- adresse e-mail du compte devenue inaccessible.
Si vous disposez encore de l’accès, commencez par modifier les paramètres de sécurité et déconnecter les appareils.
Si l’adresse e-mail ou la méthode de connexion a déjà été changée par quelqu’un d’autre, contactez directement l’assistance PlayStation. Sony indique également qu’une activité suspecte doit être signalée le plus rapidement possible.
Conservez vos reçus d’achats et les informations permettant de démontrer que vous êtes le véritable propriétaire du compte, mais ne les publiez évidemment pas en ligne.
Pourquoi le problème devient plus sérieux qu’il y a quelques années
Un compte PlayStation ne contient plus seulement une liste de trophées.
Pour certains joueurs, il représente plus de dix ans d’achats numériques, des extensions, des sauvegardes, des abonnements et parfois une bibliothèque valant plusieurs milliers d’euros.
C’est aussi la raison pour laquelle les nouvelles expérimentations commerciales de Sony prennent davantage d’importance. Menow rapportait récemment que PlayStation testait discrètement un système de cashback sur certains achats numériques, ce qui montre à quel point le compte PSN devient progressivement un véritable portefeuille numérique en plus d’une simple identité de joueur.
Perdre son compte peut donc avoir des conséquences beaucoup plus importantes qu’à l’époque de la PS3.
Les trois protections à activer en priorité
Pour un joueur qui ne veut pas passer une heure dans ses paramètres, trois actions couvrent déjà l’essentiel :
1. Activer une passkey si votre appareil est compatible.
2. À défaut, activer la vérification en deux étapes et conserver les codes de secours hors ligne.
3. Protéger l’adresse e-mail associée au compte avec son propre mot de passe unique et sa propre double authentification.
Cela ne rend évidemment aucun compte absolument invulnérable.
Mais ces protections réduisent fortement les risques liés au vol d’identifiants, au phishing et à une partie des méthodes classiques de prise de contrôle.
Le nouveau cas signalé ce 3 octobre montre surtout que les propriétaires de grosses bibliothèques numériques ont intérêt à traiter leur compte PlayStation comme un compte bancaire ou une adresse e-mail principale, et non comme un simple profil de jeu.
Sources : Push Square, PlayStation
Maxime Lefèvre suit l’actualité du gaming, des consoles et des nouvelles technologies. Il couvre notamment les univers PlayStation, Xbox, Nintendo et PC Gaming, ainsi que les grandes annonces qui façonnent l’industrie du jeu vidéo.
