Bug PS5 : Sony vient de payer 50 000 dollars pour une faille gardée secrète

Un chercheur en sécurité informatique connu sous le pseudonyme « Jordy » a reçu 50 000 dollars de PlayStation, soit le plafond du programme de primes aux failles hébergé sur la plateforme HackerOne. Selon des informations rapportées par 01net, le rapport a été classé comme résolu, mais la nature exacte de la vulnérabilité critique n'a pas été divulguée. ## Un montant record pour un rapport confidentiel Il s'agit de la prime maximale prévue par le dispositif mis en place par Sony. D'après les éléments publiés par 01net, le chercheur a réagi à sa manière sur les réseaux, indiquant qu'il pourrait « au moins s'acheter GTA 6 avec ça ». Le contenu technique du signalement, lui, reste confidentiel : Sony n'a communiqué aucun détail sur la faille identifiée, ni sur les composants ou services concernés. Cette opacité est conforme aux règles du programme, qui imposent un signalement privé afin de laisser à l'entreprise le temps d'enquêter et de corriger avant toute diffusion d'informations techniques. ## Un programme ouvert au public depuis juin 2020 Le dispositif de primes aux failles de PlayStation est actif depuis six ans. Selon l'historique public du programme, il était initialement mené en privé avec quelques spécialistes avant d'être ouvert au public en juin 2020, dans un contexte marqué par une série d'affaires de sécurité ayant touché les services de la marque. Le périmètre couvre les consoles PS4 et PS5, leurs systèmes d'exploitation, leurs accessoires ainsi que le PlayStation Network. Les montants versés suivent la gravité des vulnérabilités signalées : de 500 dollars pour les anomalies mineures jusqu'à 50 000 dollars pour les failles critiques. Seul le premier déclarant d'un problème peut prétendre à la prime. ## Des montants évalués au cas par cas Sony présente ces récompenses comme des planchers et conserve la main sur chaque versement, évalué notamment selon l'impact de la faille, le nombre de joueurs potentiellement exposés et la qualité du rapport fourni. À l'ouverture au public du programme, le compteur affichait déjà 88 problèmes corrigés et 51 900 dollars versés sur les trois mois précédents. D'après l'historique public consulté par 01net, une seule autre récompense de ce montant aurait été versée ces trois dernières années, ce qui souligne le caractère exceptionnel de la prime accordée à Jordy. ## Une diffusion progressive de l'information La trouvaille a circulé dès le 14 octobre via un compte spécialisé dans les coulisses de la boutique PlayStation, sans qu'aucun commentaire public de Sony ne vienne l'accompagner. Cette absence de communication officielle pourrait s'expliquer par la volonté de l'entreprise de ne pas exposer davantage ses systèmes tant que les correctifs ne sont pas déployés sur l'ensemble du parc. En effet, la divulgation prématurée de détails techniques sur une faille critique pourrait faciliter l'exploitation de la vulnérabilité par des acteurs malveillants. Le programme de primes de PlayStation s'inscrit dans une pratique désormais courante chez les grands acteurs du jeu vidéo et du numérique, qui consiste à s'appuyer sur la communauté des chercheurs en sécurité pour identifier des failles avant qu'elles ne soient exploitées. Toutefois, l'absence de transparence sur la nature des vulnérabilités corrigées limite la possibilité, pour le public, d'évaluer l'ampleur réelle des risques auxquels les utilisateurs ont pu être exposés.