这轮让海外主机圈最慌的事，不是密码被偷——是你的账号可以在你密码从没泄露的情况下，整箱端走。
国庆假期最后一天，很多人正登着 PS5 补进度。而 10 月 4 日到今天，IT之家连续报道了一轮 PSN 创作者盗号事件：又一位知名 PlayStation 创作者账号被盗，“盗号者仅需少量基础信息即可接管账号，普通用户求助无门”；报道同时点出漏洞至今未修的原因——安全与找回账号的平衡难把控。受害者名单里已经有名字：做 PlayStation 内容创作者的 Radec，以及更早中招的知名爆料人 Colin Moriarty。Radec 的自述尤其扎心：他已经开了双重验证、也改了密码，还是没能夺回账号——因为盗号者第一步就改了他的绑定邮箱；更麻烦的是，PlayStation 客服热线当时根本打不通。IT之家微博
今天 B 站已经有 UP 主把这件事拆成了"PSN 盗号漏洞深度解析：仅凭公开信息就能盗号"。这个说法不新：去年 12 月，法国 Numerama 记者 Nicolas Lellouche 公开过几乎一模一样的经历——他用的是通行密钥、平时只靠 iPhone 的 Face ID 登录，照样被接管：黑客先改绑定邮箱、再改密码，顺手用他关联的 PayPal 刷了一笔 9.99 欧元。他的遭遇还有后半段更冷的：等 40 分钟打通客服、5 分钟找回账号，当天 18 点 04 分同一套流程二次上演，而那时客服已经下班。哔哩哔哩微博
先分清：这是两条完全不同的盗号链，防法不一样
绝大多数人脑子里的"盗号"是这样的：钓鱼网站或木马骗走密码，然后登录。如果你的账号开了双重验证（2FA）或通行密钥，这条链在第二步就断了——对方手里只有一个打不开门的密码。这是链路 A，也是索尼那套登录侧安全（包括 2FA）真正挡得住的东西。
这轮 PSN 事件走的是链路 B：盗号者根本不碰你的密码。他拿着从公开渠道攒来的"少量基础信息"，直接走平台的账号申诉/找回通道，冒充号主发起接管。这类流程必须给用户留门——不然真忘了密码的人就彻底锁死在外面——但只要审核松一点，这扇门就是攻击面。接管完成后，盗号者改绑定邮箱是第一件事：从此你收到的改密邮件、异地登录提醒、找回链接，全部寄进他的收件箱。这时候你的 2FA 没坏，它只是装在了一扇已经不属于你的门上。
一句总结：2FA 挡"偷钥匙的"，挡不住"配了同型号锁芯来找物业开门的"。这条链上真正要命的两个环节，一个是邮箱，一个是你在网上公不公开自己的账号信息。
国内不是围观群众：翻过去一年的案例库，共性惊人一致
把这轮事件当"海外瓜"看的人会漏掉一件事：链路 B 在国内港服、外服玩家身上已经跑了整整一年。我跨平台翻了一遍自述帖，案例样本里反复出现同样的三个动作——先劫邮箱、绑着卡、通知被忽略：
2025 年 4 月，小红书网友发帖"我就两天没开主机，PSN 账号没了"，119 个赞、82 条评论。号主的自述给了两个数字：港版机器、官网自注册、短信验证码全开，照样被绕过。联系客服走完整套找回流程用了一个月，因为号在被盗后还被人转手倒卖过两次，一度面临永久封禁风险。小红书
2025 年 5 月，另一位港服用户发现凌晨被自动扣了 4 笔，靠银行卡拒付逐笔追回；
2025 年 6 月 30 日，一位港服用户周六晚上玩着玩着被顶下线，盗号者立刻刷绑定信用卡买了几百美元游戏——他做对的每一步，是先打电话给银行锁卡、反馈盗刷，再等周一索尼香港客服上班申诉；
2026 年 6 月 23 日，一位用户发现异常后当机立断：紧急解绑支付宝/微信的免密支付、冻结信用卡，第二天工作日一个客服电话搞定，余额原封不动。他还有一个值得所有人照抄的观察：同一时间点，微软、X、育碧几乎同时给他发异常登录邮件——多个平台同时报警，先查的不是游戏账号，是你的邮箱密码是不是重复用过。小红书
2026 年 6 月 29 日，另一位用户凌晨踢着球突然被提示"用户名已被更改"。事后复盘最吓人：邮箱已经被"挟持"——官方安全邮件自动转发给盗号者、再推给你钓鱼假页面，直到短信提示"两步验证已关闭"他才反应过来。他找回账号的第一步操作是：改回邮箱密码、关闭 POP3/IMAP、删除邮件转发规则。号主自己的归因（注意，只是他个人复盘，不是实锤）是：邮箱刚改密码时撞上了曾泄露的旧密码，被拖库撞了进来。
需要说清口径：这轮"大规模"的直接证据是海外多位知名创作者接连被盗（有报道、有人名、有过程自述）；国内这边目前更像常年累积的既有风险被这波重新点燃，我采到的样本里没有"国内本周集中爆发"的证据，不硬下这个结论。B 站评论区有人猜这波是博主"苦肉计"、想逼索尼重回实体盘——没有任何证据支撑，当段子看就行。反过来也提醒一句：EA 在 2022 年处理 FIFA 盗号时，公开过调查结果（不到 50 个账号）、道歉并恢复账号归属。对照之下，PSN 受害者现在普遍面对的是"热线打不通"“求助无门”，甚至出现盗号者当天二次作案时客服已经下班的尴尬——把预期管理好，把自己的动作做足。微博
假期结束前，这五处自查按顺序来
先查邮箱，再查账号。 在邮箱里搜 PlayStation / 索尼发件的安全通知，看你有没有漏掉过的"改绑"“改密”"新设备"邮件；然后给这个邮箱本身开双重验证——它是你所有账号的总钥匙。顺手检查一下邮箱的自动转发规则和"其他设备登录"列表：6 月那位"失而复得"的号主就是在转发规则里发现问题的，接管者最喜欢在邮箱里留一个后门。
收紧 PSN 个人信息展示。 不要开"任何人可见"，改成"好友的好友可见"起步。B 站评论区就有一线用户在互相提醒这件事：你的游戏库、奖杯、动态、昵称，全是盗号者拼"少量基础信息"的原料。公开的信息越少，链路 B 的原料就越贵。
核一遍支付链。 查 PSN 钱包余额、近期订单记录，确认绑定的卡/支付宝的自动扣费状态。被盗刷的案例里，钱找得回来的，全部是第一时间锁卡、走拒付的。
别因为"这轮 2FA 没用"就把它关了。 它挡不住链路 B，但它挡的是出现频率更高的链路 A。如果你在手机、PS App 上设置通行密钥遇到"不支持该浏览器"的报错（B 站评论区有同款遭遇），换主机内置浏览器或换一个浏览器完成设置，别因此放弃开启。
留好资产底单。 游戏库列表、每笔购买订单号，现在就截图存一份。数字游戏依附账号、"号没了库就归零"是评论区最高赞的抱怨，而申诉和找回时，证明"这个库里有什么"的速度至少快一档。
如果已经点错了那扇门：止损顺序是先救钱、再救邮箱、最后救号
①立刻给绑定的银行卡挂失/锁卡，走银行拒付——这是过去一年案例里唯一有稳定成功记录的一步；②夺回邮箱：改回密码、关闭 POP3/IMAP、踢掉转发规则和陌生登录设备，这是你后续一切找回动作的前提；③再去找 PlayStation 官方申诉，电话打不通是常态，网页表单和 App 渠道换着来，附上你存好的订单和游戏库底单，工作日客服接通率高得多；④账号回来后，改邮箱、改密码、重查展示设置和主机授权（主机解绑那个 6 个月一次的机制也要记着用），像 4 月那位号主一样顺手把登录 ID 也换掉。
最后给两个继续观察的信号：其一，如果后续报道里出现索尼针对账号找回/申诉流程的补丁或官方安全通告，说明平台开始修那扇"给真用户留的门"，届时自查重点可以回到账号侧；其二，假期里任何自称"官方客服"或"代找回"的陌生联系方式，先默认是冲着被盗焦虑来的第二波收割——找回通道只认你自己从官方页面进去的那条。这一年案例里最硬的一句真话是：真正保护你数字资产的，往往不是主机里那个刚开的通行密钥，而是邮箱里那个你一直懒得开的双重验证。
