PS5'te İki Güvenlik Açığı: Tehlikeli Olan Kod Değil, Bir Telefon Görüşmesi

Birinci açık: Konsolun kendisi

29 Eylül'de "Relapse" adlı bir jailbreak yayımlandı. Jailbreak, cihazdaki güvenlik açıklarından yararlanarak üreticinin koyduğu yazılım kısıtlamalarının aşılmasına verilen genel ad.

Relapse, sistem yazılımı 7.00 ile 13.60 arasındaki bütün PS5 ve PS5 Pro konsollarda çalışıyor. Projenin teknik belgelerine göre iki aşamalı bir zincir kullanıyor: önce konsolun internet tarayıcısının arkasındaki motorda bulunan bir açıktan içeri giriyor, ardından sistemin çekirdeğindeki ikinci bir hatayla çekirdek belleğinde okuma ve yazma yetkisi elde ediyor. Bu da konsolda Sony'nin imzalamadığı programların çalıştırılabilmesi demek.

Sony'nin 16 Eylül'de yayımladığı 14.00 sürümü, Relapse'in kapsamı dışında kalıyor. Şirket 1 Ekim'de 14.10 sürümünü de yayımladı ve sürüm notlarında yalnızca "bazı güvenlik düzeltmeleri" yaptığını belirtti; bu düzeltmelerin Relapse ile bağlantılı olup olmadığını açıklamadı. Sony, kullanıcılara sistem güncellemelerini hızla yüklemelerini öneriyor.

Burada ilginç bir ayrıntı var: sistem yazılımı 7.00 ile 13.60 arasında kalan bütün PS5'ler Relapse'in kapsamına giriyor. Buna, bu aralıkta bir sürümle satılan, kutusu açılmamış yeni konsollar da girebiliyor. Öte yandan aynı durum açığın kötüye kullanımını da sınırlıyor: yeni çıkan oyunlar ve güncellemeler çoğu zaman en son sistem yazılımını istiyor. Bir konsolu açık tutmak için eski sürümde kalan bir kullanıcı, zamanla yeni oyunlardan da uzak kalıyor.

PS5'in güvenliği aslında bu yılın başından beri daha derin bir sorunla uğraşıyor. 2025'in son günlerinde, konsolun işlemcisine üretim sırasında yerleştirilen ve yazılım güncellemesiyle değiştirilemeyen şifreleme anahtarlarının internete sızdığı bildirildi; olay Ocak başında birden fazla teknoloji ve güvenlik kaynağı tarafından haberleştirildi. Bu anahtarlar tek başına çalışan bir jailbreak değil, ama mevcut donanım üzerinde Sony'nin elini zayıflatan kalıcı bir gelişme. Relapse ise farklı bir yoldan, yazılım hatalarından geliyor ve güncellemeyle kapatılabiliyor.

İkinci açık: Hesabın

Asıl hikâye, manşetlerde daha az yer bulan ikincisi.

18 Mayıs'ta, PlayStation odaklı Sacred Symbols podcast'inin sunucusu ve eski IGN editörü Colin Moriarty, canlı yayın sırasında PlayStation hesabını kaybetti. Ne bir oltalama bağlantısına tıklamıştı ne de şifresini bir yere yazmıştı. Telefonuna gelen bir mesajla hesabının e-posta adresinin değiştirildiğini ve iki adımlı doğrulamasının kapatıldığını öğrendi.

Yöntem şaşırtıcı derecede basitti. Raporlara göre saldırganlar Sony'nin müşteri hizmetlerini aramış ve kendilerini hesabın sahibi olarak tanıtmıştı. Bunun için ihtiyaçları olan bilgi azdı: hesabın PSN kullanıcı adı ya da bağlı e-posta adresi ve geçmişteki bir satın alma işlemine ait tek bir ayrıntı. Bu ayrıntı bir işlem numarası, yaklaşık bir satın alma tarihi ya da ödenen bir fiyat olabiliyordu. Destek ekibi bu bilgilerle ikna oldu ve hesabın kontrolünü saldırganlara verdi.

Moriarty'nin kendi sözleriyle, bu yöntemde şifrenin, iki adımlı doğrulamanın ya da geçiş anahtarının bir önemi yok. Çünkü saldırgan bunları aşmıyor; destek ekibine kapattırıyor.

Hikâyenin devamı daha da rahatsız edici. Moriarty hesabını birkaç saat içinde geri aldı, ama bunu kendisi de açıkça söylediği gibi Sony içindeki tanıdıkları sayesinde yapabildi. Saldırganlar ise hesaptan tekrar atıldıklarında bir tür "ölü adam anahtarı" kullandı: hesaptan hakaret içeren mesajlar gönderip bu mesajları kendileri şikâyet ettiler. Sony'nin otomatik sistemi de hesabı kalıcı olarak yasakladı. Bu yasak da yine ancak tanıdıklar aracılığıyla kaldırılabildi.

Herkes bu kadar şanslı değildi. Aynı yöntemle hesabı ele geçirilen tanınmış kupa avcılarından biri, hesabına bir daha kavuşamadı. Fransız teknoloji gazetecisi Nicolas Lellouche ise aynı işlem numarasıyla iki kez hacklendi: Sony ilk saldırıdan sonra hesabına destek ekibinin müdahale etmesini engelleyen bir not eklemişti, ama bu koruma saldırının aynı yolla tekrarlanmasını engellemedi.

Sorun bitmiş de değil. 3 Ekim'de, X'te 30 binden fazla takipçisi olan PlayStation topluluğunun tanınmış isimlerinden biri, hesabının ele geçirildiğini ve e-posta adresinin değiştirildiğini duyurdu. 6 Ekim itibarıyla Sony'nin bu hesap kurtarma açığına özel kamuya açık bir açıklamasına ya da düzeltme duyurusuna rastlanmıyor. Şirketin genel uyarısı ise uzun zamandır aynı: hesap ve satın alma bilgilerini kimseyle paylaşmayın.

Neden ikincisi daha tehlikeli?

İki açığı yan yana koyunca garip bir tablo ortaya çıkıyor. Relapse, yüksek teknik bilgi gerektiren karmaşık bir zincir. Ama bir sistem güncellemesiyle kapatılabiliyor ve yalnızca belirli eski sürümlerde kalan konsolları ilgilendiriyor.

Hesap ele geçirme ise hiçbir teknik bilgi gerektirmiyor. Bir telefon görüşmesi, birkaç kamuya açık bilgi ve eski bir satın alma kaydı yetebiliyor. Hiçbir güncelleme bunu kapatamıyor, çünkü sorun bir kodda değil, insanların kimlik doğrulama sürecinde. Güvenlik dünyasında buna "sosyal mühendislik" deniyor: sistemi değil, sistemi işleten insanı kandırmak.

En güvenli şifre ve en sağlam iki adımlı doğrulama bile, kapının anahtarını kendi elinizle karşıdakine uzatan bir görevli varsa işe yaramıyor. Ve bu, PS5'i hiç kurcalamamış, her güncellemeyi zamanında yüklemiş sıradan bir oyuncunun da başına gelebilir.

Ne yapılabilir?

Bu yöntemi tamamen engellemek, Sony'nin kendi destek süreçlerini değiştirmesine bağlı. Ama riski azaltmak için yapılabilecekler var:

• Satın alma bilgilerini asla paylaşma. İşlem numaraları, fişler, satın alma onayları ve bunları gösteren ekran görüntüleri saldırganın en çok aradığı şey. Sosyal medyada geçmişte paylaştığın bu tür görüntüler varsa kaldırmayı düşün.
• PSN hesabın için kamuya açık olmayan bir e-posta adresi kullan. Saldırganın elindeki bilgilerden biri e-posta adresi; herkesin bildiği bir adres, işini kolaylaştırıyor.
• İki adımlı doğrulamayı yine de aç. Bu yönteme karşı tek başına yeterli değil, ama şifre çalınması gibi çok daha yaygın saldırılara karşı hâlâ en önemli koruma.
• Konsolunu güncel tut. Relapse gibi açıklar güncellemeyle kapanıyor.
• "Ucuz" PSN hesabı satın alma. Ele geçirilen hesaplar internette yeniden satışa çıkarılabiliyor.

Hepsinden önemlisi, iki haberden hangisinin manşete çıktığına bakmamak. Jailbreak, birkaç meraklının ve korsanlığın ilgilendiği bir yarış. Hesap güvenliği ise her PS5 sahibinin dijital kütüphanesini, yıllar içinde biriktirdiği oyunlarını ve ilerlemesini ilgilendiriyor. Bu hafta konsolları açan şey bir kod oldu; ama hesapları açan, hâlâ bir telefon görüşmesi.