Un numéro de transaction PlayStation Store n’est pas un mot de passe. Pourtant, dans les détournements de comptes PSN décrits récemment, une information d’achat peut devenir une pièce utilisée pour convaincre le support de transférer un compte. Voilà le point préoccupant : l’attaquant ne cherche pas nécessairement à voler le code affiché sur votre téléphone. Il cherche à faire remplacer les protections qui devraient l’arrêter.
Cette distinction change les conseils à donner. Activer l’authentification à deux facteurs reste utile. Utiliser une passkey aussi. Mais ces protections contrôlent la connexion normale ; elles ne garantissent pas qu’une récupération administrative impose une vérification équivalente. Une excellente serrure ne résout pas un problème de remise des clés au mauvais propriétaire.
Le sujet concerne l’identité PlayStation Network, sa bibliothèque numérique, ses abonnements et ses moyens de paiement. Il ne démontre ni une faille matérielle de la PS5, ni une vulnérabilité d’un jeu particulier. Le périmètre est celui du compte et de sa récupération, quelle que soit l’interface utilisée pour y accéder.
| Protection | Utilité principale | Limite à connaître |
|---|---|---|
| Mot de passe unique | Évite qu’un mot de passe volé ailleurs ouvre aussi le PSN | Ne bloque pas un remplacement administratif des accès |
| Vérification en deux étapes par application | Exige un code supplémentaire lors d’une connexion concernée | Ne protège pas une récupération qui retire ce facteur |
| Vérification en deux étapes par SMS | Ajoute une validation par téléphone | Expose aussi au détournement du numéro mobile |
| Passkey | Remplace la connexion par mot de passe et résiste au phishing classique | Ne garantit pas la conservation du compte si elle est supprimée administrativement |
| 10 codes de secours 2SV | Permettent une connexion lorsque le second facteur est indisponible | Chaque code ne fonctionne qu’une fois et doit rester secret |
| Adresse e-mail sécurisée | Protège les messages et liens de récupération reçus par le titulaire | Ne suffit pas si l’adresse associée au PSN est remplacée autrement |
Le détail important n’est donc pas le nombre de protections activées. C’est la cohérence entre la connexion et la récupération. Une procédure de secours doit permettre au propriétaire privé de téléphone de revenir, sans offrir un raccourci à quelqu’un qui possède seulement quelques informations sur lui. Ce compromis est difficile. Il n’autorise pas à considérer des données d’achat comme des secrets infaillibles.
Le mécanisme commence par le renseignement. Un identifiant PSN est souvent public, ce qui est normal pour un service social. Une adresse e-mail peut avoir circulé dans une fuite sans que sa boîte soit compromise. Des captures de reçus, des messages et des publications peuvent exposer des dates d’achat ou des références de transaction. Séparément, ces éléments semblent anodins. Réunis, ils peuvent rendre une usurpation crédible.
L’attaquant se présente ensuite au support comme le titulaire privé d’accès. Il ne passe plus par le formulaire de connexion ordinaire : il demande une récupération. Le point critique est la validation de cette demande. Si les renseignements fournis sont jugés suffisants, une intervention administrative peut modifier l’adresse e-mail ou réinitialiser les protections sans exiger le facteur déjà détenu par le véritable propriétaire.
Une adresse e-mail remplacée déplace le contrôle pratique du compte. Les nouvelles communications de récupération peuvent alors arriver chez l’attaquant, qui peut changer les accès et neutraliser d’autres protections. Le titulaire conserve éventuellement son téléphone, son application d’authentification et son appareil doté d’une passkey. Ils fonctionnent encore, mais ne correspondent plus nécessairement aux paramètres désormais enregistrés.
Ce scénario ne prouve pas que le 2FA a été cassé. Il décrit son évitement par une autre procédure. La différence est technique, pas sémantique : améliorer le générateur de codes ne corrige pas une validation d’identité insuffisante au support. Et connaître un PSN ID ne suffit pas, à lui seul, à démontrer la possibilité de prendre un compte.
Les justificatifs acceptés ne sont pas établis comme identiques dans toutes les régions ou tous les canaux. Il serait donc trompeur d’affirmer qu’un numéro de transaction suffit systématiquement. Le volume de comptes touchés et le taux de réussite de cette méthode ne sont pas établis non plus. Les cas individuels montrent un risque à traiter, pas une mesure mondiale de son ampleur.
Nicolas Lellouche a décrit deux compromissions, en décembre 2025 puis en mai 2026, dans un parcours où il avait utilisé le 2FA et une passkey. Son récit associe la récupération frauduleuse à un numéro de transaction visible sur une capture publiée en 2023. Cette réutilisation alléguée rappelle qu’une preuve d’achat peut rester sensible longtemps après sa publication. Elle ne démontre pas que tous les anciens reçus sont acceptés par le support.
Colin Moriarty, connu notamment pour le podcast Sacred Symbols, a raconté une prise de contrôle en mai 2026 et le recours à des contacts chez Sony pour retrouver son accès. Ce dernier point révèle une difficulté concrète : la qualité d’une récupération doit s’évaluer pour un joueur ordinaire, pas seulement pour quelqu’un capable de joindre personnellement un interlocuteur dans l’entreprise.
Début octobre 2026, RealRadec, également appelé Radec, a décrit un autre verrouillage. Ses tentatives comprenaient des changements de mot de passe, la déconnexion des appareils et la réactivation du 2FA. Malgré cela, l’adresse e-mail associée aurait été remplacée. Ce récit illustre pourquoi reprendre momentanément une session ne signifie pas nécessairement avoir éliminé la cause d’une compromission.
Ces témoignages ne permettent pas de conclure que chaque agent peut retirer chaque protection. Ils montrent surtout la nécessité de distinguer deux opérations : reprendre les accès actuels et empêcher une nouvelle récupération frauduleuse. Une rotation de mot de passe répond à la première. Elle ne garantit pas la seconde.
Une passkey n’est pas un mot de passe plus compliqué. Elle utilise une paire de clés cryptographiques : le service conserve la partie publique, tandis que la partie privée sert à authentifier l’utilisateur depuis un appareil ou un gestionnaire compatible. La connexion est liée au service légitime, ce qui réduit fortement le risque qu’un faux site récupère un secret réutilisable comme un mot de passe.
Sur PlayStation, la passkey constitue une alternative à la connexion par mot de passe avec vérification en deux étapes, pas une couche à empiler mécaniquement au-dessus. Il faut donc vérifier le mode effectivement actif. La consigne « activez tout » serait ici une mauvaise explication technique. Les codes de secours 2SV ne doivent pas être présentés comme une garantie de récupération universelle après un passage à la passkey.
Pour les comptes qui restent sur mot de passe et 2SV, une application d’authentification est préférable au SMS lorsque ce choix est disponible. Elle génère les codes sans dépendre de la réception d’un message mobile. Le SMS reste préférable à l’absence de second facteur, mais ajoute le risque d’un transfert frauduleux du numéro chez l’opérateur.
Aucune de ces limites ne justifie de désactiver les protections. Elles continuent de contrer des attaques courantes : réutilisation de mots de passe volés, phishing et accès opportunistes. Leur efficacité doit simplement être décrite au bon niveau. Elles protègent l’authentification ; la récupération administrative doit, elle aussi, être sécurisée.
À l’époque des cartouches, le contrôle de la collection était largement lié à la possession physique. Le numérique a déplacé une partie de cette valeur vers une identité distante. Un compte concentre désormais achats, abonnements, historique et relations sociales. Sa récupération n’est plus une simple commodité : elle conditionne l’accès à une partie de la collection.
L’incident PSN de 2011 reste un précédent majeur dans l’histoire de PlayStation, mais il ne faut pas confondre les mécanismes. Une intrusion dans une infrastructure et une usurpation auprès du support ne se corrigent pas de la même façon. Employer le mot « piratage » pour les deux ne dispense pas d’identifier l’endroit où le contrôle échoue.
Acheter davantage de jeux sur disque réduit certaines dépendances, sans supprimer le rôle du compte pour les services associés. Pour les joueurs qui privilégient le numérique, la sécurité de récupération mérite autant d’attention que le prix d’un abonnement. C’est un critère de longévité de la bibliothèque, pas un détail réservé aux spécialistes.
L’ordre compte. Sécuriser le PSN tout en laissant sa boîte e-mail vulnérable déplace le problème. Ces étapes réduisent plusieurs voies de compromission et préparent une récupération légitime ; elles ne promettent pas de neutraliser à elles seules une mauvaise décision administrative.
Si vous disposez encore d’un accès fiable, commencez par confirmer l’adresse e-mail de connexion. Vérifiez ensuite le mode d’authentification actif : 2SV et destination des codes, ou passkeys enregistrées. Retirez les clés inconnues. Si des codes de secours ont pu être exposés, remplacez le jeu de codes lorsque cette fonction est disponible. Un changement de mot de passe ne rend pas automatiquement toutes les autres informations inexploitables.
Déconnectez les sessions et appareils suspects avec les fonctions proposées par la gestion du compte. Si une compromission est possible, remplacez le mot de passe depuis un appareil fiable. Examinez ensuite les achats récents, les abonnements, le portefeuille et les moyens de paiement enregistrés. Vérifiez également les changements de profil et de confidentialité, qui peuvent signaler une prise de contrôle plus large.
Refaites le contrôle sur la boîte e-mail : sessions, règles de transfert et paramètres de récupération. Conservez les notifications de modification et les horaires utiles. Pour une demande au support, une chronologie courte — dernier accès normal, première alerte, paramètres modifiés — aide à expliquer le problème sans divulguer publiquement les justificatifs.
Si l’adresse e-mail a déjà été remplacée ou si l’accès est perdu, contactez PlayStation par son canal officiel après avoir sécurisé votre messagerie. Préparez les pièces demandées pour votre région. Signalez explicitement toute modification non autorisée des facteurs de sécurité, pas seulement un oubli de mot de passe. Contrôlez vos paiements et contestez rapidement les opérations non autorisées auprès de Sony et, si nécessaire, de l’émetteur du paiement.
Après récupération, vérifiez de nouveau l’ensemble des paramètres. Retrouver l’écran d’accueil ne constitue pas un audit de sécurité. Et répéter des changements de mot de passe sans traiter une récupération frauduleuse peut donner une impression de contrôle que les événements ne justifient pas.
La responsabilité du joueur s’arrête là où commence le pouvoir administratif du service. Un reçu doit aider une enquête de propriété, pas être confondu avec une preuve impossible à copier. Les utilisateurs doivent pouvoir comprendre dans quelles conditions une adresse e-mail, une passkey ou un second facteur peuvent être remplacés.
Une confirmation sur un canal déjà vérifié, un délai de gel pour certains changements sensibles et une procédure de contestation clairement accessible sont des pistes de protection. Elles doivent toutefois laisser une issue au propriétaire qui a réellement perdu ses appareils. Ce sont des exigences de conception, pas des fonctions que l’on peut présumer disponibles sur tous les comptes PSN.
Les signalements ne permettent pas d’établir un correctif généralisé, ni de conclure à une faiblesse identique partout. La transparence utile porterait sur les règles de récupération et les garde-fous, sans publier les détails exploitables. Promettre un compte « inviolable » serait moins sérieux qu’expliquer comment une modification contestée est suspendue et examinée.
Le LLM-jacking désigne le détournement d’accès ou de ressources destinés à des modèles d’intelligence artificielle. Il peut prendre la forme d’identifiants volés donnant accès à un service payant, ou d’une infrastructure compromise dont les capacités de calcul servent à l’attaquant. Dans ce second cas, le rapprochement avec le cryptojacking est pertinent : le propriétaire finance une consommation qu’il n’a pas autorisée.
Le point commun avec le PSN est la valeur économique d’un accès. Mais aucun lien factuel n’est établi ici entre ces attaques contre l’IA et les détournements PlayStation décrits. Les mélanger sous une nouvelle étiquette masquerait le problème précis : côté PSN, c’est la vérification du titulaire pendant la récupération qui mérite l’attention.
Les créateurs, journalistes et joueurs très présents publiquement ont davantage d’informations exposées à examiner. Les collectionneurs numériques ont une raison supplémentaire de préparer leurs justificatifs et leurs moyens de secours. Mais les protections de base concernent tout compte PSN. Une faible visibilité réduit certains renseignements disponibles ; elle n’empêche ni une fuite d’adresse e-mail, ni un phishing, ni la réutilisation d’un mot de passe.
Accédez à des stratégies exclusives, des astuces cachées et des analyses pro que nous ne partageons pas publiquement.
Guide stratégique ultime Tech + Astuces pro hebdomadaires