Un usuario de PlayStation conocido como Jordy, o 2tonejordy en la plataforma HackerOne, recibió $50,000 dólares de Sony después de reportar una vulnerabilidad clasificada como crítica. La recompensa corresponde al pago máximo del PlayStation Bug Bounty Program, el programa oficial con el que la compañía invita a investigadores y jugadores a avisar de fallos antes de que puedan ser aprovechados por terceros.
Sony no ha revelado los detalles técnicos del exploit, algo habitual cuando se trata de una falla de seguridad sensible. Sin embargo, el reporte aparece como resuelto y el investigador celebró el pago en X, donde bromeó con que ahora podría comprar GTA 6.
¿Cómo funciona el programa de recompensas de PlayStation?
El plan de Sony funciona a través de HackerOne, una plataforma especializada en programas de bug bounty. Cualquier persona que encuentre una vulnerabilidad puede enviar un reporte privado al equipo de seguridad de PlayStation, explicando cómo se produce el problema y qué impacto podría tener. La idea es sencilla, Sony recibe la información primero, investiga el fallo y lo corrige antes de que circulen detalles públicos.
Las recompensas dependen de la gravedad del problema, del número de usuarios que podría afectar y de la calidad del reporte. Según la política oficial de PlayStation en HackerOne, los pagos se organizan así.
- Vulnerabilidades de gravedad baja, entre $500 y $2,499 dólares.
- Vulnerabilidades de gravedad media, entre $2,500 y $9,999 dólares.
- Vulnerabilidades de gravedad alta, entre $10,000 y $49,999 dólares.
- Vulnerabilidades críticas, con pagos que pueden alcanzar los $50,000 dólares.
El pago máximo no se entrega automáticamente a todo reporte crítico. Sony evalúa el impacto real del fallo, su posible alcance y qué tan útil fue la documentación enviada por el investigador. Además, solo la primera persona que reporta una vulnerabilidad inédita puede recibir la recompensa, por lo que avisar rápido puede marcar la diferencia.
El programa cubre las consolas PS4 y PS5, sus sistemas operativos, accesorios oficiales y partes del ecosistema de PlayStation Network. Sony lo abrió al público en junio de 2020, antes del lanzamiento de PS5, con el objetivo de reforzar la seguridad de sus productos con ayuda de la comunidad.
Por qué Sony pagó $50,000 por este bug
La cifra de $50,000 dólares no es un premio simbólico. Es el tope del programa y está reservado para vulnerabilidades de nivel crítico, aquellas que podrían permitir a un atacante comprometer el sistema, acceder a funciones protegidas o afectar servicios de la consola.
Según los registros citados por varios medios, esta es apenas la segunda vez en tres años que PlayStation entrega el pago máximo. Eso da una idea de lo poco frecuente que resulta encontrar un fallo con suficiente impacto como para alcanzar esa categoría.
Jordy había mencionado previamente en redes sociales que reportó un exploit relacionado con el hypervisor de PS5, un componente de bajo nivel del sistema. Aun así, ni Sony ni HackerOne han confirmado públicamente que ese sea exactamente el fallo asociado al pago de $50,000 dólares.
El caso llega en un momento delicado para PlayStation, mientras crece la atención alrededor de intentos de modificar o hacer jailbreak en PS5. Para Sony, pagar una recompensa elevada puede ser mucho más barato que lidiar con un exploit circulando libremente y siendo utilizado para alterar consolas o acceder a servicios protegidos.
Los bug bounty son habituales en tecnología
Lejos de ser una excepción, los programas de recompensas por errores son una práctica común entre grandes empresas tecnológicas. Compañías como Google, Microsoft, Apple, Meta, PayPal, Shopify y Uber utilizan iniciativas similares para recibir avisos de investigadores de seguridad de todo el mundo.
La lógica es clara. En lugar de esperar a que un ciberdelincuente encuentre una vulnerabilidad y la explote, la empresa ofrece dinero a quien la descubra y la reporte de forma responsable. Es una forma de convertir la curiosidad técnica en una herramienta de defensa.
Sony lanzó su programa de recompensas con pagos que podían ir desde $100 dólares hasta $50,000 o más, según el tipo de falla. En aquel momento, la compañía destacó que su recompensa máxima superaba la de otras grandes del sector, incluidas Microsoft y Nintendo.
Encontrar un bug no significa publicarlo, venderlo en foros dudosos ni intentar aprovecharlo. La vía correcta es reportarlo de forma privada y permitir que la empresa lo corrija. Ese proceso protege a millones de jugadores y, en casos excepcionales, puede terminar en un pago de cinco cifras.
El caso de Jordy demuestra que la seguridad ya no depende únicamente de los equipos internos de una compañía. También depende de investigadores independientes, jugadores curiosos y expertos que prefieren avisar antes de que el problema se convierta en una amenaza real. Y, en este caso, esa decisión le valió a un usuario de PlayStation $50,000 dólares.
Sigue leyendo:
• Hideo Kojima confía en que Physint será el juego más vendido de su carrera
• El mando de PlayStation podría convertirse en un lector de pagos sin contacto
• La PlayStation 6 y la Xbox Helix podrían costar hasta $1,000 dólares por culpa de la RAM