La interrupción de PlayStation Network en 2011 (a veces denominada PSN Hack ) fue el resultado de una " intrusión externa " en los servicios PlayStation Network y Qriocity de Sony , en la que los datos personales de aproximadamente 77 millones de cuentas se vieron comprometidos e impidieron a los usuarios de PlayStation 3 y consolas PlayStation Portable accedan al servicio. [1] [2] [3] [4] El ataque se produjo entre el 17 y el 19 de abril de 2011, [1] lo que obligó a Sony a desactivar los servidores de PlayStation Network el 20 de abril. La interrupción duró 23 días. [5]
Los funcionarios gubernamentales de varios países expresaron su preocupación por el robo y el retraso de una semana de Sony antes de advertir a sus usuarios. La violación resultó en la exposición y vulnerabilidad de información de identificación personal, incluidos nombres de usuario, direcciones físicas, direcciones de correo electrónico, fechas de nacimiento, contraseñas y detalles financieros como información de tarjetas de crédito y débito. [6]
Los datos personales de aproximadamente 77 millones de cuentas se vieron comprometidos e impidieron que los usuarios de las consolas PlayStation 3 y PlayStation Portable accedieran al servicio. [1] [2] [3] [4]
Los datos de la tarjeta de crédito estaban cifrados, pero Sony admitió que otra información del usuario no estaba cifrada en el momento de la intrusión. [7] [8] El Daily Telegraph informó que "Si el proveedor almacena contraseñas sin cifrar, entonces es muy fácil para otra persona (no sólo un atacante externo, sino miembros del personal o contratistas que trabajan en el sitio de Sony) obtener acceso y descubrirlas". contraseñas, usándolas potencialmente con fines nefastos". [9] El 2 de mayo, Sony aclaró el estado "no cifrado" de las contraseñas de los usuarios, afirmando que: [10]
Si bien las contraseñas que se almacenaron no estaban "cifradas", se transformaron mediante una función hash criptográfica . Existe una diferencia entre estos dos tipos de medidas de seguridad y por eso dijimos que las contraseñas no habían sido cifradas. Pero quiero dejar muy claro que las contraseñas no se almacenaron en nuestra base de datos en forma de texto sin cifrar.
El 26 de abril, casi una semana después de la interrupción, Sony confirmó que "no puede descartar la posibilidad" [11] de que información de identificación personal como el nombre de usuario, la contraseña, la dirección particular y la dirección de correo electrónico de la cuenta de PlayStation Network se hubiera visto comprometida. Sony también mencionó la posibilidad de que se hayan tomado datos de tarjetas de crédito, después de afirmar que se había cifrado las bases de datos, lo que cumpliría parcialmente con el cumplimiento de PCI para almacenar información de tarjetas de crédito en un servidor. Tras el anuncio tanto en el blog oficial como por correo electrónico, se pidió a los usuarios que salvaguardaran las transacciones con tarjeta de crédito consultando los extractos bancarios. Esta advertencia llegó casi una semana después de la " intrusión externa " inicial y mientras la red estaba apagada. [12]
En el momento de la interrupción, con un recuento de 77 millones de cuentas registradas de PlayStation Network, [13] no solo fue una de las violaciones de seguridad de datos más grandes, sino también la interrupción de PS Network más larga de la historia. [14] [15] Superó el hackeo de TJX de 2007 que afectó a 45 millones de clientes. [dieciséis]
En 2012, The Guardian escribió:
El ataque, que pudo haber filtrado datos de tarjetas de crédito de millones de usuarios, nunca ha sido rastreado hasta ningún grupo, aunque Sony sugirió poco después que Anonymous podría haber estado involucrado. Desde entonces no ha dado más detalles sobre quién sospecha que llevó a cabo el ataque, y nunca se han publicado datos del ataque. [17]
Sony reconoció en el blog oficial de PlayStation que estaba "consciente de que ciertas funciones de PlayStation Network" estaban inactivas. Al intentar iniciar sesión a través de PlayStation 3 , los usuarios recibieron un mensaje que indicaba que la red estaba "en mantenimiento". [18] [19] Al día siguiente, Sony pidió paciencia a sus clientes mientras se investigaba la causa de la interrupción y declaró que podría tomar "uno o dos días completos" para que el servicio volviera a funcionar completamente. [20] Sony suspendió todos los servicios de PlayStation Network y Qriocity en todo el mundo. [21]
Si bien la mayoría de los juegos seguían siendo jugables en sus modos fuera de línea, la PlayStation 3 no podía reproducir ciertos títulos de Capcom de ninguna forma. Los proveedores de transmisión de video en diferentes regiones, como Hulu , Vudu , Netflix y LoveFilm , mostraron el mismo mensaje de mantenimiento. Algunos usuarios afirmaron poder utilizar el servicio de streaming de Netflix [22] pero otros no pudieron. [23]
Sony anunció que una "intrusión externa" había afectado los servicios PlayStation Network y Qriocity. [24]
Sony lamentó el tiempo de inactividad y calificó la tarea de reparar el sistema como "lleva mucho tiempo", pero conduciría a una infraestructura de red más sólida y seguridad adicional. [25]
El portavoz de Sony, Patrick Seybold, reiteró en el Blog de PlayStation que arreglar y mejorar la red era un proceso que "requería mucho tiempo" y no se estimaba un tiempo de finalización. [26] Sin embargo, al día siguiente Sony declaró que había un "camino claro para que los sistemas PlayStation Network y Qriocity volvieran a estar en línea", y se esperaba que algunos servicios se restauraran dentro de una semana. Además, Sony reconoció el "compromiso de información personal como resultado de una intrusión ilegal en nuestros sistemas". [27]
El 26 de abril de 2011, Sony explicó en el Blog de PlayStation por qué tardó tanto en informar a los usuarios de PSN sobre el robo de datos: [28]
Hay una diferencia en el momento entre el momento en que identificamos que había una intrusión y el momento en que nos enteramos de que los datos de los consumidores estaban comprometidos. Nos enteramos de que hubo una intrusión el 19 de abril y posteriormente cerramos los servicios. Luego contratamos a expertos externos para que nos ayudaran a saber cómo ocurrió la intrusión y a realizar una investigación para determinar la naturaleza y el alcance del incidente. Fue necesario realizar varios días de análisis forense y nuestros expertos tardaron hasta ayer en comprender el alcance de la infracción. Luego compartimos esa información con nuestros consumidores y la anunciamos públicamente esta tarde.
Sony proporcionará una actualización con respecto a una investigación criminal en un blog publicado el 27 de abril: "Actualmente estamos trabajando con las fuerzas del orden en este asunto, así como con una reconocida empresa de seguridad tecnológica para llevar a cabo una investigación completa. Este ataque malicioso contra nuestro sistema y contra nuestros clientes es un acto criminal y estamos procediendo agresivamente para encontrar a los responsables". [7]
Sony anunció un programa de "Bienvenido" para los clientes afectados por la interrupción. La compañía también confirmó que algunos servicios de PSN y Qriocity estarían disponibles durante la primera semana de mayo. [29] [30]
Sony emitió un comunicado de prensa, según el cual los servicios Sony Online Entertainment (SOE) habían sido desconectados por mantenimiento debido a actividades potencialmente relacionadas durante el ataque criminal inicial. Es posible que se haya accedido a más de 12.000 números de tarjetas de crédito, aunque en forma cifrada , de titulares de tarjetas no estadounidenses y a información adicional de 24,7 millones de cuentas de empresas estatales. [31] [32]
Durante la semana, Sony envió una carta a la Cámara de Representantes de Estados Unidos , respondiendo preguntas e inquietudes sobre el evento. [33] En la carta, Sony anunció que proporcionaría pólizas de seguro contra robo de identidad por un monto de 1 millón de dólares estadounidenses por usuario de los servicios PlayStation Network y Qriocity, a pesar de que no se indicaron informes de fraude con tarjetas de crédito. Esto se confirmó más tarde en el Blog de PlayStation, donde se anunció que el servicio, AllClear ID Plus impulsado por Debix , estaría disponible para los usuarios en los Estados Unidos de forma gratuita durante 12 meses e incluiría vigilancia de Internet y reparación completa de identidad en caso de que de robo y una póliza de seguro contra robo de identidad de $1 millón para cada usuario. [34] [35]
El director general de Sony Computer Entertainment, Kazuo Hirai, reiteró que la "intrusión externa" que les había provocado el cierre de PlayStation Network constituía un "ciberataque criminal". [36] Hirai se expandió aún más, afirmando que los sistemas Sony habían estado bajo ataque antes de la interrupción "durante el último mes y medio", sugiriendo un intento concertado de apuntar a Sony. [37]
El 3 de mayo, Sony declaró en un comunicado de prensa que puede haber una correlación entre el ataque que ocurrió el 16 de abril hacia PlayStation Network y uno que comprometió a Sony Online Entertainment el 2 de mayo. [31] Esta parte del ataque resultó en la robo de información sobre 24,6 millones de titulares de cuentas de Sony Online Entertainment. La base de datos contenía 12.700 números de tarjetas de crédito, particularmente aquellas de residentes no estadounidenses, y no había estado en uso desde 2007, ya que gran parte de los datos se aplicaban a tarjetas vencidas y cuentas eliminadas. Sony actualizó esta información al día siguiente afirmando que sólo 900 tarjetas de la base de datos seguían siendo válidas. [38] El ataque resultó en la suspensión de los servidores SOE y de los juegos de Facebook . SOE otorgó 30 días de tiempo libre, más un día por cada día que el servidor estuvo inactivo, a los usuarios de Clone Wars Adventures , DC Universe Online , EverQuest , EverQuest II , EverQuest Online Adventures , Free Realms , Pirates of the Burning Sea , PlanetSide , Poxnora , Star Wars Galaxies y Vanguard: Saga of Heroes , así como otras formas de compensación por todos los demás juegos de Sony Online.
Sony anunció que agregaría Data Forte al equipo de investigación de Guidance Software y Protiviti para analizar los ataques. Los aspectos legales del caso estuvieron a cargo de Baker & McKenzie. [39] Sony declaró que creía que Anonymous , un grupo descentralizado, no organizado y poco afiliado de hackers y activistas, pudo haber realizado el ataque. [40] Ningún Anons afirmó estar involucrado. [41]
Sony declaró que habían comenzado las "etapas finales de pruebas internas" para PlayStation Network, que había sido reconstruida. [42] Sin embargo, al día siguiente Sony informó que no podrían volver a poner los servicios en línea dentro del plazo de una semana dado el 1 de mayo, porque "el alcance del ataque a los servidores de Sony Online Entertainment" no se había conocido en el tiempo. [43] SOE confirmó en su cuenta de Twitter que sus juegos no estarían disponibles hasta algún tiempo después del fin de semana. [44]
Reuters comenzó a informar del evento como "el mayor robo de seguridad en Internet jamás realizado". [45] Un portavoz de Sony dijo: [46]
Varios servicios comenzaron a volver a estar en línea país por país, comenzando por América del Norte. [47] Estos servicios incluían: inicio de sesión en los servicios de PSN y Qriocity (incluido el restablecimiento de contraseña), juegos en línea en PS3 y PSP, reproducción de contenido de vídeo de alquiler, servicio Music Unlimited (PS3 y PC), acceso a servicios de terceros. (como Netflix, Hulu, Vudu y MLB.tv), lista de amigos, funcionalidad de chat y PlayStation Home. [47] Las acciones vinieron con una actualización de firmware para la PS3, versión 3.61. [48] Al 15 de mayo, el servicio en Japón y Asia Oriental aún no había sido aprobado. [49]
Sony cerró la página de restablecimiento de contraseña en su sitio luego del descubrimiento de otro exploit [50] que permitía a los usuarios restablecer las contraseñas de otros usuarios, utilizando la dirección de correo electrónico y la fecha de nacimiento del otro usuario. [51] También se deshabilitó el inicio de sesión con detalles de PSN en varios otros sitios web de Sony, pero los inicios de sesión en la consola no se vieron afectados. [50]
Sony declaró que los costos de la interrupción fueron de 171 millones de dólares. [52]
Graham Cluley, consultor tecnológico senior de Sophos , dijo que la violación "sin duda se ubica como una de las mayores pérdidas de datos que jamás haya afectado a los individuos". [53]
Los expertos en seguridad Eugene Lapidous de AnchorFree, Chester Wisniewski de Sophos Canadá y Avner Levin de la Universidad Ryerson (ahora Universidad Metropolitana de Toronto) criticaron a Sony y cuestionaron sus métodos para proteger los datos de los usuarios. Lapidous calificó la infracción como "difícil de excusar" y Wisniewski la calificó como "un acto de arrogancia o simplemente de grave incompetencia". [54] [55] [56] [57]
El senador estadounidense Richard Blumenthal de Connecticut exigió respuestas de Sony sobre la violación de datos [58] enviando un correo electrónico al director ejecutivo de SCEA, Jack Tretton, argumentando sobre la demora en informar a sus clientes e insistiendo en que Sony haga más por sus clientes que simplemente ofrecer servicios gratuitos de informes crediticios. Blumenthal luego pidió una investigación por parte del Departamento de Justicia de Estados Unidos para encontrar a la persona o personas responsables y determinar si Sony era responsable por la forma en que manejó la situación. [59]
La congresista Mary Bono Mack y el congresista GK Butterfield enviaron una carta a Sony exigiendo información sobre cuándo se descubrió la infracción y cómo se manejaría la crisis. [60]
La comisionada de privacidad de Canadá, Jennifer Stoddart, confirmó que las autoridades canadienses investigarían. La oficina del comisionado expresó su preocupación sobre por qué las autoridades de Canadá no fueron informadas antes de una violación de seguridad. [61]
Tras una investigación formal de Sony por violaciones de la Ley de Protección de Datos del Reino Unido de 1998 , la Oficina del Comisionado de Información multó a Sony con £250.000 ($395.000) y emitió una declaración muy crítica con la seguridad que Sony había implementado:
Si usted es responsable de tantos datos de tarjetas de pago y de inicio de sesión, su prioridad debe ser mantener seguros esos datos personales. En este caso eso simplemente no sucedió, y cuando la base de datos fue atacada (aunque en un determinado ataque criminal) las medidas de seguridad implementadas simplemente no fueron lo suficientemente buenas. No se puede ocultar que este es un negocio que debería haberlo sabido mejor. Es una empresa que aprovecha su experiencia técnica y no tengo ninguna duda de que tuvieron acceso tanto al conocimiento técnico como a los recursos para mantener esta información segura. [62]
Kristopher Johns de Birmingham, Alabama, en nombre de todos los usuarios de PlayStation , publicó una demanda el 27 de abril, alegando que Sony "no cifró los datos ni estableció firewalls adecuados para manejar una contingencia de intrusión en el servidor, no proporcionó advertencias rápidas y adecuadas sobre violaciones de seguridad, y Se retrasó injustificadamente el volver a poner en línea el servicio PSN". [63] [64] Según la denuncia presentada en la demanda, Sony no notificó a los miembros sobre una posible violación de seguridad y el almacenamiento de la información de la tarjeta de crédito de los miembros, [65] una violación del cumplimiento de PCI , el estándar de seguridad digital para las tarjetas de pago. Industria.
Una demanda canadiense contra Sony USA, Sony Canadá y Sony Japón reclamó daños y perjuicios de hasta mil millones de dólares canadienses, incluido seguimiento de crédito gratuito y seguro contra robo de identidad. [66] El demandante fue citado diciendo: "Si no puedes confiar en una enorme corporación multinacional como Sony para proteger tu información privada, ¿en quién puedes confiar? Me parece que Sony se centra más en proteger sus juegos que en sus Usuarios de PlayStation". [67]
En octubre de 2012, un juez de California desestimó una demanda contra Sony por la violación de seguridad de PSN, dictaminando que Sony no había violado las leyes de protección al consumidor de California, citando que "no existe la seguridad perfecta". [68]
En una conferencia de prensa en Tokio el 1 de mayo, Sony anunció un programa de "Bienvenido de nuevo". Además del "contenido de entretenimiento seleccionado de PlayStation", el programa prometió incluir 30 días de membresía gratuita de PlayStation Plus para todos los miembros de PSN, mientras que los miembros existentes de PlayStation Plus recibieron 30 días adicionales en su suscripción. Los suscriptores de Qriocity recibieron 30 días. Sony prometió otros contenidos y servicios durante las próximas semanas. [30]
Hulu compensó a los usuarios de PlayStation 3 por la imposibilidad de utilizar su servicio durante la interrupción ofreciendo una semana de servicio gratuito a los miembros de Hulu Plus. [69]
El 16 de mayo de 2011, Sony anunció que se ofrecerían de forma gratuita dos juegos de PlayStation 3 y dos juegos de PSP de listas de cinco y cuatro, † respectivamente. [70] [71] Los juegos disponibles variaban según la región [70] [71] y solo estaban disponibles en países que tenían acceso a PlayStation Store antes de la interrupción. [71] El 27 de mayo de 2011, Sony anunció el paquete de "bienvenida" para Japón [72] y la región de Asia (Hong Kong, Singapur, Malasia, Tailandia e Indonesia). [73] En la región de Asia, se ofreció gratuitamente un tema, Dokodemo Issyo Spring Theme , además de los juegos disponibles en el paquete de "bienvenida de nuevo". [73]
^† Se ofrecen 5 juegos de PSP en el mercado japonés. [72]
^‡ La versión ofrecida de Killzone Liberation no ofrece funcionalidad de juego en línea. [71]
Hubo informes en Internet de que algunos usuarios experimentaron fraude con tarjetas de crédito; [74] [75] [76] sin embargo, aún no estaban vinculados con el incidente. Sony dijo que los códigos CSC solicitados por sus servicios no fueron almacenados, [77] pero los piratas informáticos pueden haber podido descifrar o registrar detalles de tarjetas de crédito mientras estaban dentro de la red de Sony. [74]
El 5 de mayo, una carta del CEO y presidente de Sony Corporation of America, Sir Howard Stringer, enfatizó que no había evidencia de fraude con tarjetas de crédito y que una póliza de seguro contra robo de identidad de $1 millón estaría disponible para los usuarios de PSN y Qriocity. [35]
En marzo de 2010, Sony lanzó una actualización de firmware para PlayStation 3 que eliminaba la posibilidad de instalar sistemas operativos de terceros como Linux. [78] [79] Este movimiento provocó una reacción significativa de la comunidad de modding.
George Hotz , también conocido como Geohot, logró hacer jailbreak al firmware de PS3 el 2 de enero de 2011 y poco después comenzó a compartir el jailbreak en línea. [80] En respuesta, Sony demandó a Hotz el 11 de enero de 2011 por sus actividades de jailbreak. [81]
El grupo de hackers Anonymous inició la "Operación Sony" el 2 de abril de 2011 como forma de protesta. [79] Sony finalmente resolvió la demanda con Hotz el 11 de abril. [82] Después de esto, Anonymous convocó una protesta pública contra Sony el 13 de abril. [79]
