Jornalista Nicolas Lellouche perdeu a conta PSN duas vezes através do suporte da Sony, mesmo com 2FA e passkeys ativados 🎮🔒🧵 Segundo o relato, o invasor mudou o e‑mail e a senha e ainda fez uma cobrança de €9,99 via PayPal vinculado à conta.

Imagem indisponível

Resumo didático do caso: em dezembro de 2025 Lellouche teve acesso tomado após o atacante alterar e‑mail/senha pela assistência da Sony. Ou seja, a brecha não foi no login direto, mas no fluxo de recuperação/alteração gerenciado pelo suporte.

Por que 2FA e passkey não bastaram? 2FA e passkeys protegem contra acesso direto e phishing, mas não anulam decisões humanas ou procedimentos de suporte. Se um agente de suporte autoriza mudança de e‑mail, o invasor pode redirecionar o controle da conta.

Imagem indisponível

Como funciona o ataque (explicação passo a passo): 1) invasor convence suporte que é dono; 2) suporte altera e‑mail ou método de recuperação; 3) invasor redefine senha e retoma acesso; 4) usa dados vinculados (ex.: PayPal) para confirmar ou monetizar intrusão.

O que você pode fazer agora (prático e direto): 1) remova ou limite métodos de pagamento na conta; 2) use e‑mail exclusivo e protegido; 3) registre evidências de propriedade (compras, códigos); 4) configure notificações de alteração por e‑mail/telefone; 5) contate PayPal/banco para estornos.

Imagem indisponível

O que as empresas DEVEM melhorar: autenticação do suporte (camadas adicionais, registro de chamadas), reduzir poderes de alterar dados críticos, auditoria e transparência dos atendimentos. Isso exige investimento em treinamento — apoio aos trabalhadores também é parte da solução.

Reflexão final: se um jornalista com 2FA e passkeys ficou vulnerável, milhões de usuários comuns estão em risco. Não é só questão técnica — é sobre processos, responsabilidade corporativa e políticas de proteção ao consumidor. Hora da indústria repensar os fluxos de recuperação.

Imagem indisponível