Alessandro FerrariDa dicembre 2025, una vulnerabilità critica nel processo di recupero account di PlayStation Network permette agli hacker di impossessarsi di profili PSN — compresi giochi acquistati, dati bancari e abbonamenti attivi — anche quando password complessa e autenticazione a due fattori (2FA) risultano correttamente configurate. Il problema non riguarda un attacco diretto ai server Sony, ma una debolezza strutturale nel processo di assistenza clienti: basta una telefonata e pochi dati facilmente reperibili per convincere un operatore del supporto Sony a cedere il controllo di un account. A maggio 2026, il caso è esploso a livello internazionale dopo che il podcaster Colin Moriarty ha reso pubblico il furto del proprio account PSN con tutti i contenuti digitali collegati. Milioni di utenti italiani sono potenzialmente esposti.
Come funziona l'attacco: ingegneria sociale al telefono
La tecnica utilizzata dagli hacker non richiede competenze tecniche avanzate: si tratta di ingegneria sociale applicata al servizio clienti Sony, una forma di manipolazione psicologica che sfrutta le procedure standard di recupero account.
Il criminale contatta il supporto PlayStation Network sostenendo di aver perso l'accesso all'indirizzo email collegato al proprio account. Per verificare l'identità, gli operatori Sony richiedono due sole informazioni: il PSN ID pubblico (visibile sul profilo di qualsiasi giocatore, accessibile da chiunque) e un dettaglio di un acquisto recente, come il numero di transazione o le ultime quattro cifre della carta di pagamento.
Questi dati, apparentemente confidenziali, sono spesso reperibili attraverso phishing, data breach di terze parti o semplicemente osservando le ricevute elettroniche che i marketplace di giochi generano automaticamente. Una volta in possesso di queste informazioni, l'operatore Sony procede a modificare l'indirizzo email dell'account e a disattivare la 2FA su richiesta dell'"utente".
Il risultato è immediato: l'hacker entra nell'account, modifica le credenziali di accesso, svuota il wallet PSN, utilizza le carte di credito eventualmente salvate e — in molti casi documentati tra maggio e luglio 2026 — rivende l'account con tutti i giochi acquistati nei forum del dark web. Secondo ricercatori di sicurezza citati da Push Square nel maggio 2026, il valore medio di un account PSN con libreria medio-grande sul mercato nero si aggira tra i €150 e €600.
La catena di attacco dura mediamente meno di 30 minuti dal primo contatto con il supporto Sony all'accesso completo all'account da parte del malintenzionato. L'account legittimo non riceve alcuna notifica in tempo reale durante la procedura.
Perché la 2FA non protegge in questo caso specifico
L'autenticazione a due fattori è considerata uno degli strumenti più efficaci contro gli accessi non autorizzati — ed è vero, ma solo finché il punto di attacco è il portale di login standard.
La falla del PSN non colpisce la pagina di accesso: colpisce il processo di recupero account del supporto clienti, che per definizione esiste proprio per aiutare chi non ha più accesso al proprio secondo fattore di autenticazione. È un cortocircuito logico: il meccanismo pensato per proteggere gli utenti in difficoltà diventa la porta d'ingresso per gli hacker. La 2FA blocca l'accesso frontale, ma il supporto clienti apre la porta sul retro.
A titolo comparativo, Microsoft Xbox disabilita automaticamente il proprio modulo di recupero standard non appena la verifica in due passaggi è attiva, instradando le richieste verso una procedura manuale più lenta e più rigida che prevede revisione umana estesa. Nintendo, similmente, richiede il secondo fattore per procedere con qualsiasi modifica alle credenziali. Sony, al contrario, non ha ancora aggiornato il proprio processo con misure equivalenti, nonostante le segnalazioni pubbliche risalgano al dicembre 2025 e la pressione della community sia aumentata significativamente dall'episodio Moriarty.
Come abbiamo analizzato in relazione alla sicurezza digitale per i minori sui videogiochi, le piattaforme gaming raccolgono dati sensibili e metodi di pagamento spesso sottovalutati dagli utenti. La differenza, in questo caso, è che il rischio riguarda tutti i giocatori adulti, non solo i più giovani, e il danno economico può essere immediato e difficilmente recuperabile.
Il CERT-AgID — il team governativo italiano di risposta agli incidenti informatici, operativo sotto l'Agenzia per l'Italia Digitale — pubblica aggiornamenti settimanali sulle campagne di phishing e social engineering attive nel Paese. Le tecniche descritte nel caso PSN rientrano esattamente in questa categoria di attacchi, sempre più frequenti anche in ambito consumer.
Caso concreto: Marco perde €420 di giochi e tre anni di progressi in 48 ore
Marco ha 31 anni, lavora come grafico freelance a Bologna e gioca su PlayStation dal 2014. Il suo account PSN contiene 74 giochi digitali acquistati nel corso degli anni — un valore complessivo stimato di €420 ai prezzi correnti di mercato — un abbonamento PlayStation Plus Extra attivo a €9,99 al mese con rinnovo automatico, e una carta di credito salvata nel wallet con un plafond mensile di €500.
La sera del 15 luglio 2026, Marco riceve una notifica automatica di cambio email al proprio indirizzo alle 23:47. Non ci fa caso subito — pensa a un errore del sistema — e va a dormire. Alle 00:03, vengono effettuati due acquisti per un totale di €109,98 tramite la sua carta salvata. Alle 06:00, quando si sveglia e tenta di accedere, la password non funziona più e la 2FA risulta già disattivata dall'hacker.
Scenario A — Come è andata davvero: Con la carta di credito salvata e €109,98 di acquisti fraudolenti, più la perdita dell'accesso a €420 di giochi per settimane (il tempo di recupero via supporto Sony, se va bene), Marco subisce un danno economico diretto di €109,98 e un danno indiretto in termini di tempo, stress e accesso ai contenuti pagati per i quali non ha più visibilità.
Scenario B — Se Marco avesse rimosso la carta dal wallet: L'hacker avrebbe potuto rubare l'account ma non avrebbe effettuato acquisti. Il danno finanziario diretto sarebbe stato €0. La carta non memorizzata non è utilizzabile senza l'inserimento manuale dei dati completi.
Scenario C — Se Marco avesse usato una carta virtuale con limite mensile di €20 (come quelle offerte da Revolut, N26 o Hype, attivabili in pochi minuti): il danno massimo possibile sarebbe stato di €20, non €109,98. La carta virtuale usa-e-getta azzera completamente il rischio di ulteriori transazioni.
Questo caso illustra un principio fondamentale della cybersecurity applicata al gaming: la riduzione della superficie di attacco. Non si tratta solo di bloccare l'intrusione — che in questo caso dipende dalle procedure Sony, non dall'utente — ma di limitare i danni quando l'intrusione avviene nonostante le precauzioni adottate. Un consulente di sicurezza informatica professionale può aiutare a mappare tutti gli account gaming e i servizi digitali esposti a rischi simili, non solo PSN.
I 5 passi da fare oggi per proteggere il tuo account PSN
L'aggiornamento delle procedure Sony è incerto nei tempi: nel frattempo, queste misure riducono significativamente l'impatto di un eventuale attacco.
1. Rimuovi immediatamente le carte di credito salvate nel wallet PSN. Vai su Impostazioni > Utenti e account > Account > Pagamento e abbonamenti > Gestione dei metodi di pagamento. Rimuovi tutte le carte e inserisci manualmente i dati solo al momento dell'acquisto. È il passo singolo con l'impatto più alto in termini di riduzione del rischio finanziario.
2. Imposta fondi minimi nel wallet PSN. Se preferisci mantenere fondi precaricati, inserisci solo importi piccoli (€10-20 alla volta). Un hacker può usare solo i fondi già presenti: un wallet a €0 è un wallet inutile per chi ha rubato l'accesso.
3. Monitora attivamente l'indirizzo email collegato al PSN. Ogni modifica all'account genera una notifica automatica. Se l'email collegata al PSN è un account che controlli raramente (un vecchio Gmail, una casella aziendale), considera di collegarsi a un indirizzo che controlli più volte al giorno. Quei 16 minuti tra la notifica di cambio email e gli acquisti fraudolenti nel caso di Marco potevano essere sufficienti per bloccare tutto.
4. Non condividere mai ricevute di acquisto PSN online. I numeri di transazione sono le chiavi della tua sicurezza su PSN. Non pubblicare screenshot di acquisti sui social, non condividere ricevute nei gruppi gaming o nelle chat Discord — sono esattamente le informazioni che un hacker utilizza per fingersi te al telefono con il supporto Sony.
5. Documenta e conserva le ricevute PSN sistematicamente. Crea una cartella email dedicata e archivia ogni ricevuta di acquisto con data, importo e codice transazione. In caso di furto, questi dati — che tu possiedi e l'hacker non può conoscere tutti — accelerano la procedura di recupero e rimborso con Sony.
Se ritieni di essere già stato vittima di un accesso non autorizzato, hai perso l'accesso al tuo account PSN, o vuoi una valutazione professionale della tua postura di sicurezza digitale, un esperto di informatica su Expert Zoom può aiutarti a fare un'analisi del profilo di rischio e supportarti nella procedura di recupero con Sony. La complessità tecnica e burocratica di questi casi è spesso sottovalutata dagli utenti finché non ci si trova dentro.
Nota: le informazioni contenute in questo articolo hanno scopo informativo. Per casi specifici di furto d'identità digitale o frode informatica, è consigliabile rivolgersi anche alle autorità competenti (Polizia Postale) e al CERT-AgID.
