La interrupción del servicio de PlayStation Network en 2011 (a veces denominada como el hackeo de PSN ) fue el resultado de una " intrusión externa " en los servicios PlayStation Network y Qriocity de Sony , en la que se comprometieron los datos personales de aproximadamente 77 millones de cuentas e impidió que los usuarios de las consolas PlayStation 3 y PlayStation Portable accedieran al servicio. [1] [2] [3] [4] El ataque ocurrió entre el 17 y el 19 de abril de 2011, [1] obligando a Sony a desactivar los servidores de PlayStation Network el 20 de abril. La interrupción duró 23 días. [5]
Los funcionarios gubernamentales de varios países expresaron su preocupación por el robo y por la demora de una semana de Sony en advertir a sus usuarios. La violación de datos dio lugar a la exposición y vulnerabilidad de información personal identificable , incluidos nombres de usuario, direcciones físicas, direcciones de correo electrónico, fechas de nacimiento, contraseñas y detalles financieros como información de tarjetas de crédito y débito. [6]
Los datos personales de aproximadamente 77 millones de cuentas se vieron comprometidos e impidieron que los usuarios de las consolas PlayStation 3 y PlayStation Portable accedieran al servicio. [1] [2] [3] [4]
Los datos de las tarjetas de crédito estaban encriptados, pero Sony admitió que otros datos de los usuarios no estaban encriptados en el momento de la intrusión. [7] [8] El Daily Telegraph informó que "si el proveedor almacena las contraseñas sin encriptar, entonces es muy fácil para otra persona -no sólo un atacante externo, sino miembros del personal o contratistas que trabajan en el sitio de Sony- obtener acceso y descubrir esas contraseñas, potencialmente usándolas con fines nefastos". [9] El 2 de mayo, Sony aclaró el estado "sin encriptar" de las contraseñas de los usuarios, afirmando que: [10]
Si bien las contraseñas que se almacenaron no estaban “encriptadas”, se transformaron mediante una función hash criptográfica . Existe una diferencia entre estos dos tipos de medidas de seguridad, por eso dijimos que las contraseñas no habían sido encriptadas. Pero quiero ser muy claro en que las contraseñas no se almacenaron en nuestra base de datos en forma de texto sin formato.
El 26 de abril, casi una semana después de la interrupción del servicio, Sony confirmó que "no puede descartar la posibilidad" [11] de que se hubiera comprometido información personal identificable , como el nombre de usuario, la contraseña, la dirección de domicilio y la dirección de correo electrónico de la cuenta de PlayStation Network. Sony también mencionó la posibilidad de que se hubieran robado datos de tarjetas de crédito, tras afirmar que se había colocado un cifrado en las bases de datos, lo que cumpliría parcialmente con la normativa PCI para almacenar información de tarjetas de crédito en un servidor. Tras el anuncio, tanto en el blog oficial como por correo electrónico, se pidió a los usuarios que protegieran las transacciones con tarjetas de crédito comprobando los extractos bancarios. Esta advertencia llegó casi una semana después de la " intrusión externa " inicial y mientras la red estaba apagada. [12]
En el momento de la interrupción, con un recuento de 77 millones de cuentas registradas de PlayStation Network, [13] no solo fue una de las mayores violaciones de seguridad de datos, sino también la interrupción más larga de PS Network en la historia. [14] [15] Superó el hackeo de TJX de 2007 que afectó a 45 millones de clientes. [16]
En 2012, The Guardian escribió:
El ataque, que podría haber filtrado los datos de las tarjetas de crédito de millones de usuarios, nunca ha sido atribuido a ningún grupo, aunque Sony sugirió poco después que Anonymous podría haber estado involucrado. Desde entonces, no ha dado más detalles sobre quién sospecha que llevó a cabo el ataque, y nunca se han publicado datos del mismo. [17]
Sony reconoció en el blog oficial de PlayStation que "era consciente de que ciertas funciones de PlayStation Network" estaban inactivas. Al intentar iniciar sesión a través de la PlayStation 3 , los usuarios recibieron un mensaje que indicaba que la red estaba "en mantenimiento". [18] [19] Al día siguiente, Sony pidió paciencia a sus clientes mientras se investigaba la causa de la interrupción y afirmó que podría llevar "un día o dos" que el servicio volviera a funcionar por completo. [20] Sony suspendió todos los servicios de PlayStation Network y Qriocity en todo el mundo. [21]
Si bien la mayoría de los juegos se mantuvieron jugables en sus modos fuera de línea, la PlayStation 3 no pudo reproducir ciertos títulos de Capcom en ninguna forma. Los proveedores de transmisión de video en diferentes regiones, como Hulu , Vudu , Netflix y LoveFilm, mostraron el mismo mensaje de mantenimiento. Algunos usuarios afirmaron poder usar el servicio de transmisión de Netflix [22], pero otros no pudieron. [23]
Sony anunció que una "intrusión externa" había afectado a los servicios PlayStation Network y Qriocity. [24]
Sony expresó su pesar por el tiempo de inactividad y calificó la tarea de reparar el sistema como "demasiado lenta", pero que conduciría a una infraestructura de red más fuerte y a una seguridad adicional. [25]
El portavoz de Sony, Patrick Seybold, reiteró en el blog de PlayStation que reparar y mejorar la red era un proceso que "requería mucho tiempo" y no se estimaba un tiempo de finalización. [26] Sin embargo, al día siguiente Sony declaró que había un "camino claro para que los sistemas PlayStation Network y Qriocity volvieran a estar en línea", y que se esperaba que algunos servicios se restablecieran en una semana. Además, Sony reconoció el "riesgo de información personal como resultado de una intrusión ilegal en nuestros sistemas". [27]
El 26 de abril de 2011, Sony explicó en el Blog de PlayStation por qué tardó tanto en informar a los usuarios de PSN sobre el robo de datos: [28]
Hay una diferencia de tiempo entre el momento en que identificamos que había una intrusión y el momento en que nos enteramos de que los datos de los consumidores estaban en peligro. Nos enteramos de que había una intrusión el 19 de abril y, posteriormente, cerramos los servicios. Luego, trajimos a expertos externos para que nos ayudaran a entender cómo se produjo la intrusión y a realizar una investigación para determinar la naturaleza y el alcance del incidente. Fue necesario realizar varios días de análisis forense, y nuestros expertos tardaron hasta ayer en comprender el alcance de la vulneración. Luego compartimos esa información con nuestros consumidores y la anunciamos públicamente esta tarde.
Sony proporcionará una actualización sobre una investigación criminal en un blog publicado el 27 de abril: "Actualmente estamos trabajando con las autoridades en este asunto, así como con una reconocida empresa de seguridad tecnológica para llevar a cabo una investigación completa. Este ataque malicioso contra nuestro sistema y contra nuestros clientes es un acto criminal y estamos procediendo agresivamente para encontrar a los responsables". [7]
Sony anunció un programa de "Bienvenida de nuevo" para los clientes afectados por la interrupción. La compañía también confirmó que algunos servicios de PSN y Qriocity estarían disponibles durante la primera semana de mayo. [29] [30]
Sony emitió un comunicado de prensa en el que se afirma que los servicios de Sony Online Entertainment (SOE) se habían desconectado por mantenimiento debido a actividades posiblemente relacionadas con el ataque delictivo inicial. Es posible que se haya accedido a más de 12.000 números de tarjetas de crédito, aunque en forma cifrada , de titulares de tarjetas no estadounidenses y a información adicional de 24,7 millones de cuentas de SOE. [31] [32]
Durante la semana, Sony envió una carta a la Cámara de Representantes de los Estados Unidos , respondiendo preguntas e inquietudes sobre el evento. [33] En la carta, Sony anunció que proporcionarían pólizas de seguro contra robo de identidad por un monto de US$1 millón por usuario de los servicios PlayStation Network y Qriocity, a pesar de que no se indicaron informes de fraude con tarjetas de crédito. Esto se confirmó más tarde en el Blog de PlayStation, donde se anunció que el servicio, AllClear ID Plus impulsado por Debix , estaría disponible para los usuarios en los Estados Unidos de forma gratuita durante 12 meses e incluiría vigilancia de Internet, reparación completa de la identidad en caso de robo y una póliza de seguro contra robo de identidad de $1 millón para cada usuario. [34] [35]
El director ejecutivo de Sony Computer Entertainment, Kazuo Hirai , reiteró que la "intrusión externa" que había provocado el cierre de PlayStation Network constituía un "ataque cibernético criminal". [36] Hirai amplió sus afirmaciones, afirmando que los sistemas de Sony habían estado bajo ataque antes de la interrupción "durante el último mes y medio", lo que sugiere un intento concertado de atacar a Sony. [37]
El 3 de mayo, Sony declaró en un comunicado de prensa que podría haber una correlación entre el ataque que se había producido el 16 de abril contra PlayStation Network y el que comprometió a Sony Online Entertainment el 2 de mayo. [31] Esta parte del ataque dio lugar al robo de información sobre 24,6 millones de titulares de cuentas de Sony Online Entertainment. La base de datos contenía 12.700 números de tarjetas de crédito, en particular los de residentes no estadounidenses, y no se había utilizado desde 2007, ya que gran parte de los datos se aplicaban a tarjetas caducadas y cuentas eliminadas. Sony actualizó esta información al día siguiente indicando que solo 900 tarjetas de la base de datos seguían siendo válidas. [38] El ataque dio lugar a la suspensión de los servidores de SOE y de los juegos de Facebook . SOE otorgó 30 días de tiempo gratuito, más un día por cada día que el servidor estuvo inactivo, a los usuarios de Clone Wars Adventures , DC Universe Online , EverQuest , EverQuest II , EverQuest Online Adventures , Free Realms , Pirates of the Burning Sea , PlanetSide , Poxnora , Star Wars Galaxies y Vanguard: Saga of Heroes , así como otras formas de compensación para todos los demás juegos de Sony Online.
Sony anunció que iba a sumar a Data Forte al equipo de investigación de Guidance Software y Protiviti para analizar los ataques. Los aspectos legales del caso fueron manejados por Baker & McKenzie. [39] Sony manifestó su creencia de que Anonymous , un grupo descentralizado, no organizado y poco afiliado de hackers y activistas, podría haber llevado a cabo el ataque. [40] Ningún Anons afirmó haber estado involucrado. [41]
Sony declaró que habían comenzado las "etapas finales de pruebas internas" para la PlayStation Network, que había sido reconstruida. [42] Sin embargo, al día siguiente Sony informó que no podrían volver a poner los servicios en línea dentro del plazo de una semana dado el 1 de mayo, porque "el alcance del ataque a los servidores de Sony Online Entertainment" no se había conocido en ese momento. [43] SOE confirmó en su cuenta de Twitter que sus juegos no estarían disponibles hasta algún tiempo después del fin de semana. [44]
Reuters comenzó a informar sobre el evento como "el mayor ataque a la seguridad de Internet jamás visto". [45] Un portavoz de Sony dijo: [46]
Varios servicios comenzaron a volver a estar disponibles en línea en cada país, comenzando con América del Norte. [47] Estos servicios incluían: inicio de sesión para los servicios PSN y Qriocity (incluido el restablecimiento de contraseña), juegos en línea en PS3 y PSP, reproducción de contenido de video alquilado, servicio Music Unlimited (PS3 y PC), acceso a servicios de terceros (como Netflix, Hulu, Vudu y MLB.tv), lista de amigos, funcionalidad de chat y PlayStation Home. [47] Las acciones vinieron con una actualización de firmware para la PS3, versión 3.61. [48] Al 15 de mayo, el servicio en Japón y el este de Asia aún no había sido aprobado. [49]
Sony cerró la página de restablecimiento de contraseña en su sitio luego del descubrimiento de otro exploit [50] que permitía a los usuarios restablecer las contraseñas de otros usuarios, utilizando la dirección de correo electrónico y la fecha de nacimiento del otro usuario. [51] El inicio de sesión con detalles de PSN en varios otros sitios web de Sony también fue deshabilitado, pero los inicios de sesión de la consola no se vieron afectados. [50]
Sony afirmó que los costos de la interrupción fueron de 171 millones de dólares. [52]
Graham Cluley, consultor tecnológico senior de Sophos , dijo que la filtración "sin duda se clasifica como una de las mayores pérdidas de datos que haya afectado a individuos". [53]
Los expertos en seguridad Eugene Lapidous de AnchorFree, Chester Wisniewski de Sophos Canada y Avner Levin de la Universidad Ryerson (ahora Universidad Metropolitana de Toronto) criticaron a Sony, cuestionando sus métodos para proteger los datos de los usuarios. Lapidous calificó la violación de "difícil de excusar" y Wisniewski la calificó de "un acto de arrogancia o simplemente de incompetencia flagrante". [54] [55] [56] [57]
El senador estadounidense Richard Blumenthal de Connecticut exigió respuestas de Sony sobre la filtración de datos [58] enviando un correo electrónico al director ejecutivo de SCEA, Jack Tretton, en el que argumentaba la demora en informar a sus clientes e insistía en que Sony hiciera más por sus clientes que simplemente ofrecer servicios gratuitos de informes crediticios. Blumenthal pidió posteriormente una investigación del Departamento de Justicia de Estados Unidos para encontrar a la persona o personas responsables y determinar si Sony era responsable de la forma en que manejó la situación. [59]
La congresista Mary Bono Mack y el congresista GK Butterfield enviaron una carta a Sony exigiendo información sobre cuándo se descubrió la violación y cómo se manejaría la crisis. [60]
La Comisionada de Privacidad de Canadá, Jennifer Stoddart , confirmó que las autoridades canadienses investigarían el caso. La oficina de la Comisionada expresó su preocupación por el hecho de que las autoridades canadienses no hayan sido informadas antes de la violación de la seguridad. [61]
Tras una investigación formal a Sony por violaciones a la Ley de Protección de Datos de 1998 del Reino Unido , la Oficina del Comisionado de Información multó a Sony con £250.000 (395.000 dólares) y emitió una declaración muy crítica sobre la seguridad que Sony tenía implementada:
Si usted es responsable de tantos datos de tarjetas de pago y de inicio de sesión, mantener seguros esos datos personales tiene que ser su prioridad. En este caso, eso simplemente no sucedió, y cuando la base de datos fue atacada (aunque en un ataque criminal decidido), las medidas de seguridad implementadas simplemente no fueron lo suficientemente buenas. No se puede ocultar que se trata de una empresa que debería haberlo sabido hacer mejor. Es una empresa que se basa en su experiencia técnica, y no tengo ninguna duda de que tenían acceso tanto al conocimiento técnico como a los recursos para mantener segura esta información. [62]
El 27 de abril, Kristopher Johns de Birmingham, Alabama, presentó una demanda en nombre de todos los usuarios de PlayStation alegando que Sony "no encriptó los datos ni estableció cortafuegos adecuados para manejar una contingencia de intrusión en el servidor, no proporcionó advertencias rápidas y adecuadas sobre las violaciones de seguridad y se demoró irrazonablemente en volver a poner en línea el servicio PSN". [63] [64] Según la denuncia presentada en la demanda, Sony no notificó a los miembros sobre una posible violación de seguridad y no almacenó la información de las tarjetas de crédito de los miembros, [65] una violación de PCI Compliance , el estándar de seguridad digital para la industria de tarjetas de pago.
Una demanda canadiense contra Sony USA, Sony Canada y Sony Japan reclamaba daños y perjuicios por valor de hasta 1.000 millones de dólares canadienses , incluidos el control de crédito gratuito y un seguro contra robo de identidad. [66] El demandante dijo: "Si no puedes confiar en una gran corporación multinacional como Sony para proteger tu información privada, ¿en quién puedes confiar? Me parece que Sony se centra más en proteger sus juegos que a sus usuarios de PlayStation". [67]
En octubre de 2012, un juez de California desestimó una demanda contra Sony por la violación de seguridad de PSN, dictaminando que Sony no había violado las leyes de protección al consumidor de California, citando que "no existe tal cosa como la seguridad perfecta". [68]
En una conferencia de prensa en Tokio el 1 de mayo, Sony anunció un programa de "Bienvenida de nuevo". Además de "contenido de entretenimiento seleccionado de PlayStation", el programa prometía incluir 30 días de membresía gratuita de PlayStation Plus para todos los miembros de PSN, mientras que los miembros existentes de PlayStation Plus recibieron 30 días adicionales en su suscripción. Los suscriptores de Qriocity recibieron 30 días. Sony prometió otros contenidos y servicios en las próximas semanas. [30]
Hulu compensó a los usuarios de PlayStation 3 por la imposibilidad de usar su servicio durante la interrupción ofreciendo una semana de servicio gratuito a los miembros de Hulu Plus. [69]
El 16 de mayo de 2011, Sony anunció que se ofrecerían de forma gratuita dos juegos de PlayStation 3 y dos juegos de PSP de listas de cinco y cuatro, † respectivamente. [70] [71] Los juegos disponibles variaban según la región [70] [71] y solo estaban disponibles en países que tenían acceso a PlayStation Store antes de la interrupción. [71] El 27 de mayo de 2011, Sony anunció el paquete de "bienvenida de nuevo" para Japón [72] y la región de Asia (Hong Kong, Singapur, Malasia, Tailandia e Indonesia). [73] En la región de Asia, se ofreció un tema - Dokodemo Issyo Spring Theme - de forma gratuita además de los juegos disponibles en el paquete de "bienvenida de nuevo". [73]
^† Se ofrecen 5 juegos de PSP en el mercado japonés. [72]
^‡ La versión de Killzone Liberation ofrecida no ofrece funcionalidad de juego en línea. [71]
En Internet se han publicado informes de que algunos usuarios han sufrido fraudes con tarjetas de crédito; [74] [75] [76] Sin embargo, todavía no se les ha vinculado con el incidente. Sony ha afirmado que los códigos CSC solicitados por sus servicios no se han almacenado, [77] pero es posible que los piratas informáticos hayan podido descifrar o registrar los datos de las tarjetas de crédito mientras estaban dentro de la red de Sony. [74]
El 5 de mayo, una carta del director ejecutivo y presidente de Sony Corporation of America, Sir Howard Stringer, enfatizó que no había evidencia de fraude con tarjetas de crédito y que una póliza de seguro contra robo de identidad de un millón de dólares estaría disponible para los usuarios de PSN y Qriocity. [35]
En marzo de 2010, Sony lanzó una actualización de firmware para la PlayStation 3 que eliminó la posibilidad de instalar sistemas operativos de terceros como Linux. [78] [79] Esta medida provocó una reacción significativa de la comunidad de modding.
George Hotz , también conocido como Geohot, logró hacer jailbreak al firmware de la PS3 el 2 de enero de 2011, y comenzó a compartir el jailbreak en línea poco después. [80] En respuesta, Sony demandó a Hotz el 11 de enero de 2011 por sus actividades de jailbreak. [81]
El grupo de hackers Anonymous inició la "Operación Sony" el 2 de abril de 2011 como forma de protesta. [79] Sony finalmente resolvió la demanda con Hotz el 11 de abril . [82] Después de esto, Anonymous convocó una protesta pública contra Sony el 13 de abril. [79]
