- Bezprawnik -
- Prywatność i bezpieczeństwo -
- Gracz z Polski wydał 17 tys. zł na PlayStation i go napadli. A Sony teraz pastwi się nad okradzionym
Gracz z Polski wydał 17 tys. zł na PlayStation i go napadli. A Sony teraz pastwi się nad okradzionym
Dwanaście lat historii, około 250 cyfrowych gier i doładowania warte według poszkodowanego 17,4 tys. zł. Polski gracz, któremu haker przejął konto PlayStation, po tygodniu przepychanek z obsługą Sony nie odzyskał niczego. Zamiast pomocy dostał maila z informacją, że konto zostaje zawieszone, bo jego „aktywność” naruszyła kodeks postępowania.
Skradzione konto PlayStation, a kara dla okradzionego
Historię opisał na platformie X użytkownik występujący jako Bejsydiusz Tepez. Z jego relacji wynika, że w ubiegłą środę po południu stracił dostęp do konta PSN założonego niemal dwanaście lat temu. Na liczniku miał 411. poziom profilu, 94 platynowe trofea i od czterech lat opłacany abonament PS Plus Premium. Do tego mniej więcej 250 gier kupionych cyfrowo.
Atak, jak twierdzi gracz, poszedł przez skrzynkę pocztową. Włamywacz miał się dostać do jego poczty w WP, co poszkodowany łączy z niedawnym wyciekiem danych logowania, a potem usunąć wszystkie maile od Sony z potwierdzeniami zakupów. I tu zaczyna się najciekawsze. Jedyną metodą weryfikacji przypisaną do konta okazało się pytanie o numer ostatniej transakcji. Bez niego obsługa rozkładała ręce, choć gracz miał w ręku numer seryjny konsoli, profil na tej konsoli, na którym konto było zalogowane od lat, trzy lata kodów doładowań na łączną kwotę 17,4 tys. zł, powiązany profil w serwisie PSNProfiles i konto na Discordzie, które wciąż pokazuje połączenie z utraconym PSN.
Kontakt z infolinią opisuje jako drogę przez mękę, czego chyba zresztą doświadczył w swoim życiu każdy z posiadaczy PlayStation. W ciągu pięciu godzin dodzwonił się dwa razy, po 32 i 17 minutach czekania. Finał przyszedł mailem od zespołu PlayStation Safety: odwołanie odrzucone, konto zostaje zawieszone, bo „Twoja aktywność stanowiła naruszenie Kodeksu postępowania”.
Trzeba uczciwie zaznaczyć, że znamy wyłącznie relację poszkodowanego (oraz od lat borykamy się z polskim oddziałem Sony). Sony mogło mieć dane, których on nie widzi. Tyle że nawet przy najbardziej życzliwej interpretacji obraz jest fatalny: system zabezpieczeń oparty na jednym pytaniu, na które odpowiedź siedzi w mailu, czyli dokładnie tam, gdzie haker zagląda w pierwszej kolejności.
Nie pierwszy taki przypadek
Rok temu opisywaliśmy, jak haker przejął konto PlayStation jednego z czołowych na świecie łowców platyn. Wtedy wystarczyło przekonać support, że to on jest właścicielem profilu. Prawowity właściciel usłyszał w końcu radę, żeby założył nowe konto. Polska historia jest lustrzanym odbiciem tamtej: złodziejowi procedury nie przeszkadzały, właścicielowi uniemożliwiły wszystko.
Obsługa klienta, która działa tylko pod presją mediów
Poszkodowany sam przywołuje sprawę Retro Taty z czerwca. Microsoft początkowo odmówił mu przywrócenia przejętego konta z biblioteką kilkuset gier, a zmienił zdanie dopiero wtedy, gdy o sprawie zrobiło się głośno w mediach growych. Inny gracz, któremu Microsoft zaproponował po kradzieży założenie nowego konta i ponowny zakup gier, poszedł do sądu i wygrał.
Moim zdaniem to jest sedno problemu. Jeśli wielka korporacja przywraca konto po kilku artykułach i fali wpisów na X, to znaczy, że technicznie mogła to zrobić od początku. Brakowało tylko woli. Mamy więc system dwóch prędkości: osoby z zasięgami odzyskują swoje gry, reszta słyszy, że nic się nie da zrobić. Trudno nazwać to obsługą klienta.
Sony zresztą zna sale sądowe. Hasło „Sony pozwane przez graczy” pojawiało się już przy okazji sporu o ceny w PlayStation Store. Firma, która tak twardo pilnuje, by klienci pamiętali, że kupują wyłącznie licencję, równie twardo powinna pilnować, żeby ta licencja nie trafiała w ręce złodziei.
Co mówi prawo, czyli gdzie szukać ratunku?
Sony przy każdej okazji przypomina, że gry cyfrowe są licencjonowane, a nie sprzedawane. Ten sam argument słychać od lat w dyskusjach o tym, czy kupowanie gier na Steamie jest w ogóle kupowaniem. Licencja nie wyłącza jednak przepisów konsumenckich. Umowa z Sony pozostaje umową z konsumentem, a polskie i unijne prawo ma tu więcej do powiedzenia, niż sugerują regulaminy.
Ustawa o prawach konsumenta i usługa cyfrowa
Od 2023 roku ustawa o prawach konsumenta zawiera osobny rozdział o umowach o dostarczanie treści i usług cyfrowych. Konto PSN z abonamentem i biblioteką gier mieści się w tej kategorii. Przepisy wymagają, by treści cyfrowe były zgodne z umową, a wśród cech, jakich konsument może rozsądnie oczekiwać, ustawa wymienia m.in. ciągłość i bezpieczeństwo. Jeśli usługa nie spełnia tych wymogów, konsument może żądać doprowadzenia jej do zgodności z umową (w tym przypadku po prostu przywrócenia dostępu), a gdy to nie nastąpi, obniżenia ceny albo odstąpienia od umowy ze zwrotem pieniędzy za niewykorzystany okres abonamentu.
Sony z pewnością odpowie, że do włamania doszło przez skrzynkę pocztową klienta, za którą firma nie odpowiada. Częściowo słusznie. Ale procedura odzyskiwania konta, która ignoruje numer seryjny konsoli i historię doładowań za kilkanaście tysięcy złotych, to już problem po stronie Sony. Od lat zwracamy uwagę, że treści cyfrowe kupowane na globalnych platformach są chronione słabiej, niż powinny. Ta sprawa dobrze pokazuje dlaczego.
Odszkodowanie i klauzule w regulaminie
Niezależnie od ustawy konsumenckiej działa art. 471 kodeksu cywilnego, czyli odpowiedzialność za nienależyte wykonanie zobowiązania. Szkodą jest tu realna wartość utraconej biblioteki i opłaconych usług, a udokumentowane kody doładowań to dowód, jakiego wiele osób w podobnej sytuacji nie ma. Postanowienia regulaminu, które wyłączają odpowiedzialność Sony za wszystko, mogą zostać uznane za niedozwolone w świetle art. 385¹ k.c., a takie zapisy konsumenta po prostu nie wiążą. Konsument z Polski może też co do zasady pozwać zagraniczną firmę przed polskim sądem, niezależnie od tego, jaki sąd wskazuje regulamin.
Uczciwie trzeba powiedzieć, że proces z koncernem to kosztowna i długa droga. Przykład gracza, który wygrał z Microsoftem, pokazuje jednak, że da się nią przejść.
RODO jako narzędzie dowodowe
Jest też ruch, o którym mało kto pamięta. Na podstawie art. 15 RODO można zażądać od Sony kopii danych osobowych przetwarzanych w związku z kontem: historii transakcji, logów logowania, informacji o zmianie adresu e-mail. Administrator ma na odpowiedź co do zasady miesiąc. Jest w tym pewna ironia, bo Sony pyta klienta o numer transakcji, który samo trzyma w swojej bazie, a RODO daje klientowi prawo, by ten numer od Sony wydobyć. Firma może oczywiście najpierw chcieć potwierdzenia tożsamości wnioskodawcy, ale takie żądanie zostawia ślad, a brak reakcji to podstawa do skargi do Prezesa UODO.
Rzecznik konsumentów i zawiadomienie na policję
Bezpłatną pomoc daje miejski lub powiatowy rzecznik konsumentów, który może wystąpić do przedsiębiorcy w imieniu konsumenta i zażądać wyjaśnień. Warto też złożyć zawiadomienie o przestępstwie. Włamanie do skrzynki pocztowej i przejęcie konta to nielegalny dostęp do systemu informatycznego z art. 267 kodeksu karnego. Szansa na złapanie sprawcy bywa niewielka, ale protokół z policji to dokument, którego nie da się zbyć szablonowym mailem.
Jak chronić konto PSN, zanim będzie za późno?
Konto pocztowe powiązane z PSN, bankiem czy sklepami powinno mieć unikalne hasło i weryfikację dwuetapową, najlepiej przez aplikację, a nie SMS. Na samym koncie PlayStation weryfikację dwuetapową też zresztą warto włączyć, bo Sony ją oferuje. Rozsądnie jest również przechowywać potwierdzenia zakupów poza skrzynką, choćby w osobnym folderze na dysku, oraz zapisać numery kilku ostatnich transakcji. Brzmi to jak przesada, dopóki jedno pytanie kontrolne nie stanie się jedyną przepustką do dorobku dwunastu lat.
Nic z tego nie zwalnia jednak Sony z odpowiedzialności. Firma, która zarabia na cyfrowej dystrybucji coraz więcej i coraz chętniej żegna się z płytami, musi mieć procedurę odzyskiwania kont, która działa także dla ludzi bez kilkudziesięciu tysięcy obserwujących.
