PlayStation hat im eigenen Bug-Bounty-Programm eine Prämie von 50.000 US-Dollar ausgezahlt. Das ist die höchste Summe, die für eine einzelne Meldung vorgesehen ist. Empfänger ist der Sicherheitsforscher Jordy, der auf HackerOne als 2tonejordy auftritt.
Seine gemeldete Schwachstelle wurde als kritisch eingestuft. Was genau sie ermöglicht hätte, ist öffentlich nicht zu sehen. Gerade das ist bei solchen Meldungen normal: Sony soll die Lücke erst prüfen und schließen können, bevor Details missbraucht werden.
Jordy nahm die Summe auf X mit einem GTA-6-Witz auf. Für PlayStation-Spieler ist aber vor allem wichtig, dass das Programm offenbar auch bei besonders schweren Problemen funktioniert und hohe Prämien zahlen kann.
Warum 50.000 Dollar hier auffallen
Die meisten erfolgreichen Hinweise bringen deutlich weniger Geld. Laut der Übersicht des PlayStation-Programms auf HackerOne liegt die durchschnittliche Auszahlung bei rund 400 US-Dollar. Selbst für die niedrigste Stufe gibt es mindestens 250 US-Dollar, bei Fehlern direkt auf PS4 oder PS5 mindestens 500 US-Dollar.
Die 50.000 US-Dollar sind deshalb keine normale Belohnung, sondern die Obergrenze für kritische Sicherheitslücken. In den vergangenen drei Jahren soll nur eine weitere Person diese volle Summe erhalten haben.
Das zeigt auch, wie unterschiedlich solche Fehler sein können. Ein kleiner Fund kann vielleicht nur wenige Funktionen betreffen. Eine kritische Lücke kann dagegen so schwer wiegen, dass Sony den maximalen Betrag ansetzt. Welche Kategorie eine Meldung bekommt, hängt also nicht davon ab, wie bekannt der Finder ist, sondern von der möglichen Gefahr.
Vertrauliche Meldung statt öffentlichem Exploit
Das PlayStation-Programm wurde im Juni 2020 für alle geöffnet. Seitdem lassen sich Sicherheitslücken für PS5, PS4 und die PlayStation-Website einreichen. Sony behandelt die Hinweise vertraulich, damit ein Problem nicht direkt öffentlich wird.
In den vergangenen 90 Tagen wurden über das Programm mehr als 228.000 US-Dollar ausgezahlt. Seit dem Start liegt die Summe bei 1,15 Millionen US-Dollar. Das Geld ist dabei nicht nur eine Belohnung für Finder. Es soll auch einen klaren Grund geben, Fehler an Sony zu melden, statt sie weiterzugeben oder öffentlich zu verbreiten.
Jordy war bereits im September wegen einer anderen möglichen PS5-Schwachstelle Thema. Dabei ging es laut seinen Angaben um den Hypervisor der Konsole, den ein anderer Sicherheitsforscher für eine Linux-Mod genutzt haben soll. Ob seine aktuelle Meldung damit zusammenhängt, geht aus dem öffentlichen Eintrag aber nicht hervor. Genau diese Grenze sollte man beachten: Bekannt ist die hohe Prämie, nicht die Technik dahinter.
