Sony paga US$50.000 a un hacker por el fallo de PS5

Sony pagó US$50.000 por un fallo que valía mucho más

Sony desembolsó US$50.000 a un investigador de seguridad conocido como Jordy (usuario 2tonejordy en HackerOne) por reportar una vulnerabilidad crítica en el hipervisor de PlayStation 5. Es el techo de su programa de recompensas, y aun así la cifra se queda corta frente a lo que ese fallo representaba para la comunidad: con él se abría la puerta a ejecutar código no firmado y a correr Linux en la consola.

Para un founder que gestiona producto o seguridad, la historia importa menos por el monto y más por lo que revela: la IA generativa está convirtiendo hallazgos que antes tardaban meses en commodities que aparecen en horas. Eso cambia el cálculo de cualquier programa de divulgación de vulnerabilidades, dentro y fuera del gaming.

¿Qué es el hipervisor y por qué su parche lo cambia todo?

El hipervisor es la capa de software que separa el sistema de la consola del hardware y decide qué código puede ejecutarse. Funciona como la última línea de defensa antes de que un programa sin firma de Sony hable directamente con el procesador. Saltárselo es, en la práctica, abrir la máquina.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Según IGN, el fallo reportado afectaba a las versiones de firmware 13.60 a 14.00. TechPowerUp precisa que el perfil de Jordy en HackerOne registra un único reporte de PlayStation resuelto por esos US$50.000, tramitado a través del programa que Sony abrió al público en junio de 2020, según recoge Dexerto.

El detalle que convierte el caso en una historia de fricción: solo otro investigador había recibido el máximo del programa en los últimos tres años, según el historial de HackerOne citado por Dexerto. Es decir, no es un pago rutinario. Es la categoría reservada a lo más grave.

La traición que partió a la comunidad homebrew

El contexto viene de antes. A comienzos de este año, Andy Nguyen —ingeniero de seguridad de Google, conocido como theflow0— mostró una PS5 arrancando Linux y corriendo GTA V con trazado de rayos activo, y publicó el proyecto en GitHub. Su mod es temporal: hay que repetirlo en cada arranque y requiere firmware antiguo.

Nguyen guardaba otro fallo del hipervisor. Su plan, según IGN, era esperar hasta después del lanzamiento de GTA VI —previsto para el 19 de noviembre— para soltarlo. La lógica era elegante: los usuarios podían actualizar la consola, comprar el juego legalmente y conservar la posibilidad de convertir la máquina en un sistema Linux.

Jordy reportó el fallo a Sony el 15 de septiembre, según IGN. Nguyen anunció entonces que abandonaba la escena de PS5 y calificó a quienes usan IA sin entender lo que hacen como "slop kiddies". En TweakTown quedó registrada su frase de que meses de esfuerzo se fueron "por el desagüe".

La defensa de Jordy, que recoge IGN, es puramente competitiva: si él y otra persona podían encontrar el fallo con un modelo de lenguaje, un tercero también. "Si yo y otra persona podemos encontrarlo con LLM, también puede hacerlo otra persona", declaró.

El costo reputacional fue alto. Su publicación en X acumulaba 1,8 millones de visualizaciones, según IGN, y la comunidad llegó a reunir una bolsa colectiva de más de US$37.000 para mantener el fallo lejos de Sony, según Kotaku. Ningún investigador la aceptó.

¿Por qué la IA está reventando los programas de bug bounty?

Este es el punto que trasciende el drama entre hackers. Madwax0r, responsable del rastreador de emuladores y lista negra de estafas Kaishaku, explicó a IGN que los fallos de hipervisor solían ser lo bastante raros como para que una sola persona los guardara durante un año. Con modelos de lenguaje alimentados con código de consola, varios investigadores pueden llegar al mismo agujero en cuestión de horas.

IGN recoge que algunos investigadores de seguridad llaman a este mes "Black October" por la seguidilla de divulgaciones asistidas por IA. Y el investigador Eric Parker anticipó a ese medio que espera otro exploit "en algún momento".

Sobre el parche, no hay confirmación oficial. TechPowerUp señala que el firmware 14.20 se distribuyó el 21 de octubre con notas que solo mencionan ajustes de usabilidad, y que recientemente apareció un exploit privado para la versión 14.10. La conclusión práctica para quien tenga una consola con homebrew: quedarse en firmware antiguo.

¿Qué significa esto para tu startup?

Aunque el caso sea de consolas, el patrón se repite en cualquier empresa que expone software al público. Tres lecturas concretas:

Asume que tus vulnerabilidades ya no son secretas. Si un fallo crítico puede ser encontrado por varios actores en horas con asistencia de IA, el tiempo entre "alguien lo descubrió" y "alguien lo explota" se comprime. El parcheo no puede depender de un ciclo trimestral.
Diseña tu política de divulgación antes del incidente. El conflicto entre Jordy y Nguyen no fue técnico, fue de expectativas: nadie había fijado por escrito cuánto se espera antes de reportar. Un programa de bug bounty con plazos, criterios de severidad y reglas de coordinación explícitas evita que un hallazgo se convierta en una crisis de reputación.
No dependas de un solo investigador ni de una sola recompensa. La comunidad había juntado más de US$37.000 para comprar el silencio del hallazgo y no funcionó. La lección para un equipo de producto es que la seguridad no se compra con incentivos aislados: se sostiene con procesos.
Mide el costo reputacional, no solo el financiero. Para Sony, US$50.000 es calderilla. Para la escena homebrew, el precio fue la pérdida del proyecto Linux en PS5 Pro. Ese desequilibrio entre lo que paga la empresa y lo que pierde su comunidad es exactamente el tipo de riesgo que no aparece en un balance.

Conclusión

El caso de Jordy y Andy Nguyen deja tres certezas. Primero, que el hipervisor de PS5 ya no es un muro: se sabe cómo atravesarlo y hay emuladores en desarrollo. Segundo, que la IA generativa bajó el costo de encontrar fallos críticos a un nivel que rompe los acuerdos informales entre investigadores. Y tercero, que un programa de bug bounty sin reglas claras de coordinación puede terminar castigando a la comunidad que la empresa decía querer proteger.

Para cualquier startup que construye hardware, firmware o software expuesto, la pregunta ya no es si alguien encontrará el fallo, sino cuántas personas lo encontrarán el mismo día —y qué habrá definido tu empresa antes de que eso pase.