PlayStation paga 50.000 dólares a investigador por descubrir exploit en PS5
20XX 
PlayStation ha vuelto a demostrar que está dispuesta a pagar bien por proteger su ecosistema. El investigador de seguridad conocido como Jordy, que opera bajo el alias 2tonejordy en la plataforma HackerOne, ha recibido una recompensa de 50.000 dólares por reportar una vulnerabilidad crítica en el sistema de PlayStation 5. La cifra representa el pago máximo del programa de bug bounty de Sony y, según el historial público de HackerOne, solo otro usuario ha recibido una cantidad similar en los últimos tres años.
El propio Jordy compartió la noticia en redes sociales con una mezcla de humor y alivio: “Por lo menos puedo comprar GTA 6 con esto, creo”, bromeó, acompañando el mensaje con una captura de pantalla del pago de 50.000 dólares.
El exploit: una vulnerabilidad en el hipervisor
Aunque Sony no ha revelado los detalles técnicos del fallo, los informes apuntan a que se trata de un exploit de hipervisor, la capa de seguridad que controla el sistema operativo de la PS5 y que es fundamental para mantener la integridad de la consola. Este tipo de vulnerabilidades son especialmente codiciadas por la comunidad de homebrew y jailbreak, ya que permiten a los atacantes eludir las restricciones de seguridad de Sony y ejecutar software no autorizado, como sistemas operativos alternativos o emuladores.
El reporte de Jordy se produjo a mediados de septiembre, pero el caso no tardó en convertirse en un polémico conflicto interno dentro de la escena de seguridad de PlayStation.
El conflicto con TheFlow: el precio de reportar un bug
El verdadero detonante de la controversia fue la reacción de Andy Nguyen, conocido en la comunidad como TheFlow. Nguyen, uno de los hackers más respetados del sector y desarrollador principal del proyecto que busca llevar Linux a la PS5, había estado trabajando durante meses en un port que permitía convertir la consola en una suerte de Steam Machine, con soporte para juegos como Grand Theft Auto V con trazado de rayos. Tenía previsto lanzar el proyecto en 2027, incluyendo compatibilidad con PS5 Pro.
El exploit reportado por Jordy era precisamente una de las piezas clave que hacían posible ese port. Según los informes, Nguyen se puso en contacto con Jordy para pedirle que retrasara la publicación del fallo hasta después del lanzamiento de GTA 6, con el objetivo de no perjudicar sus investigaciones ni alertar a Sony antes de tiempo. Jordy aceptó inicialmente, pero terminó reportando la vulnerabilidad a Sony después de que otra persona la descubriera, aparentemente con ayuda de inteligencia artificial, y temiera perder la recompensa si alguien más se le adelantaba.
La decisión de Jordy precipitó la retirada de TheFlow de la escena. El 16 de septiembre, Nguyen anunció en X que abandonaba el desarrollo de PS5 Linux y todos los proyectos relacionados, incluyendo la compatibilidad con PS5 Pro que tenía prevista para 2027. La noticia fue un golpe devastador para la comunidad de homebrew, que llevaba meses esperando el lanzamiento de su trabajo.
La reacción de Sony: actualización obligatoria y login forzado
El impacto del exploit no se limitó al drama interno de la comunidad. Sony ha endurecido las condiciones de acceso a sus servicios online: ahora es obligatorio tener la PS5 actualizada a la última versión del sistema para poder iniciar sesión y acceder a funciones como el multijugador o la PlayStation Store. Esta medida afecta a todos los jugadores que no hayan actualizado sus consolas, y se interpreta como una respuesta directa a la vulnerabilidad reportada por Jordy.
La proximidad del lanzamiento de GTA 6, previsto para el 19 de noviembre, ha añadido aún más tensión al caso. Algunos analistas especularon con que Sony podría haber tomado medidas adicionales para proteger la consola de cara al estreno del juego más esperado de la década, aunque no hay pruebas de que el exploit vaya a afectar directamente al lanzamiento.
Un dilema ético en la comunidad de seguridad
El caso de Jordy y TheFlow ha reabierto un debate recurrente en la comunidad de seguridad: ¿es legítimo reportar un fallo a una compañía cuando ese fallo es la base del trabajo de otros investigadores? Por un lado, los programas de bug bounty como el de HackerOne existen precisamente para incentivar a los investigadores a reportar vulnerabilidades de forma responsable, y Sony recompensa generosamente a quienes lo hacen. Por otro lado, la decisión de Jordy de priorizar su recompensa sobre el proyecto de TheFlow ha generado una fractura en la comunidad, con algunos apoyando su decisión y otros criticándola como una traición a los ideales del homebrew.
Lo que está claro es que el exploit ha tenido consecuencias tangibles: ha endurecido las políticas de actualización de Sony, ha provocado la retirada de uno de los hackers más talentosos de la escena y ha dejado a los jugadores de PS5 con menos margen para decidir cuándo y cómo actualizar sus consolas. La recompensa de 50.000 dólares puede haber sido un buen negocio para Jordy, pero el precio pagado por la comunidad ha sido mucho más alto.
Fuentes: La Razón, 15 de octubre de 2026; Dexerto, 14 de octubre de 2026; Critical Hits, 15 de octubre de 2026;
