Interrupción del servicio de PlayStation Network en 2011

Sony reconoció en el blog oficial de PlayStation que estaba "al tanto de que ciertas funciones de PlayStation Network" no funcionaban. Al intentar iniciar sesión a través de PlayStation 3 , los usuarios recibieron un mensaje que indicaba que la red estaba "en mantenimiento". ^{[ 23 ] [ 24 ]} Al día siguiente, Sony pidió paciencia a sus clientes mientras se investigaba la causa de la interrupción y declaró que podría tardar "uno o dos días completos" en restablecer el servicio por completo. ^{[ 25 ]} Sony suspendió todos los servicios de PlayStation Network y Qriocity en todo el mundo. ^{[ 26 ]}

Si bien la mayoría de los juegos seguían siendo jugables en sus modos sin conexión, la PlayStation 3 no podía ejecutar ciertos títulos de Capcom de ninguna forma. Los proveedores de vídeo en streaming de diferentes regiones, como Hulu , Vudu , Netflix y LoveFilm, mostraban el mismo mensaje de mantenimiento. Algunos usuarios afirmaron poder usar el servicio de streaming de Netflix ^{[ 27 ]} , pero otros no. ^{[ 28 ]}

Sony anunció que una "intrusión externa" había afectado a los servicios PlayStation Network y Qriocity. ^{[ 29 ]}

Sony expresó su pesar por el tiempo de inactividad y calificó la tarea de reparar el sistema como "larga", pero afirmó que conduciría a una infraestructura de red más sólida y a una mayor seguridad. ^{[ 30 ]}

El portavoz de Sony, Patrick Seybold, reiteró en el blog de PlayStation que reparar y mejorar la red era un proceso que requería mucho tiempo y sin una fecha estimada de finalización. ^{[ 31 ]} Sin embargo, al día siguiente, Sony declaró que existía un camino claro para que PlayStation Network y los sistemas Qriocity volvieran a estar en línea, y que se esperaba que algunos servicios se restablecieran en una semana. Además, Sony reconoció la filtración de información personal como resultado de una intrusión ilegal en nuestros sistemas. ^{[ 32 ]}

El 26 de abril de 2011, Sony explicó en el blog de PlayStation por qué tardó tanto en informar a los usuarios de PSN sobre el robo de datos: ^{[ 33 ]}

Existe una diferencia temporal entre el momento en que detectamos la intrusión y el momento en que supimos que los datos de los consumidores se habían visto comprometidos. Nos enteramos de la intrusión el 19 de abril y, posteriormente, suspendimos los servicios. Luego, contratamos a expertos externos para que nos ayudaran a comprender cómo se produjo la intrusión y para que llevaran a cabo una investigación que determinara la naturaleza y el alcance del incidente. Fue necesario realizar varios días de análisis forense, y nuestros expertos tardaron hasta ayer en comprender el alcance de la brecha de seguridad. Posteriormente, compartimos esa información con nuestros consumidores y la anunciamos públicamente esta tarde.

Sony proporcionará una actualización sobre una investigación criminal en una publicación de blog del 27 de abril: "Actualmente estamos trabajando con las autoridades policiales en este asunto, así como con una reconocida empresa de seguridad tecnológica para llevar a cabo una investigación completa. Este ataque malicioso contra nuestro sistema y contra nuestros clientes es un acto criminal y estamos actuando con determinación para encontrar a los responsables". ^{[ 12 ]}

Sony anunció un programa de "Bienvenida de regreso" para los clientes afectados por la interrupción del servicio. La compañía también confirmó que algunos servicios de PSN y Qriocity estarían disponibles durante la primera semana de mayo. ^{[ 34 ] [ 35 ]}

Sony emitió un comunicado de prensa en el que indicaba que los servicios de Sony Online Entertainment (SOE) habían sido desconectados para mantenimiento debido a actividades potencialmente relacionadas con el ataque informático inicial. Se pudo haber accedido a más de 12 000 números de tarjetas de crédito, aunque encriptados , de titulares de tarjetas no estadounidenses, así como a información adicional de 24,7 millones de cuentas de SOE. ^{[ 36 ] [ 37 ]}

Durante la semana, Sony envió una carta a la Cámara de Representantes de los Estados Unidos , respondiendo preguntas e inquietudes sobre el evento. ^{[ 38 ]} En la carta, Sony anunció que proporcionaría pólizas de seguro contra robo de identidad por un monto de US$1 millón por usuario de los servicios PlayStation Network y Qriocity, a pesar de que no se habían reportado casos de fraude con tarjetas de crédito. Esto fue confirmado posteriormente en el blog de PlayStation, donde se anunció que el servicio, AllClear ID Plus impulsado por Debix , estaría disponible para los usuarios en los Estados Unidos de forma gratuita durante 12 meses e incluiría vigilancia de Internet, reparación completa de identidad en caso de robo y una póliza de seguro contra robo de identidad de US$1 millón para cada usuario. ^{[ 39 ] [ 40 ]}

El director ejecutivo de Sony Computer Entertainment, Kazuo Hirai, reiteró que la "intrusión externa" que provocó el cierre de PlayStation Network constituía un "ciberataque criminal". ^{[ 41 ]} Hirai amplió la información, afirmando que los sistemas de Sony habían estado bajo ataque antes de la interrupción "durante el último mes y medio", lo que sugiere un intento coordinado de atacar a Sony. ^{[ 42 ]}

El 3 de mayo, Sony declaró en un comunicado de prensa que podría existir una correlación entre el ataque ocurrido el 16 de abril contra PlayStation Network y otro que comprometió Sony Online Entertainment el 2 de mayo. ^{[ 36 ]} Esta parte del ataque resultó en el robo de información de 24,6 millones de titulares de cuentas de Sony Online Entertainment. La base de datos contenía 12.700 números de tarjetas de crédito, en particular de residentes fuera de EE. UU., y no se había utilizado desde 2007, ya que gran parte de los datos correspondían a tarjetas caducadas y cuentas eliminadas. Sony actualizó esta información al día siguiente, indicando que solo 900 tarjetas en la base de datos seguían siendo válidas. ^{[ 43 ]} El ataque resultó en la suspensión de los servidores de SOE y los juegos de Facebook . SOE otorgó 30 días de tiempo gratuito, más un día por cada día que el servidor estuvo caído, a los usuarios de Clone Wars Adventures , DC Universe Online , EverQuest , EverQuest II , EverQuest Online Adventures , Free Realms , Pirates of the Burning Sea , PlanetSide , Poxnora , Star Wars Galaxies y Vanguard: Saga of Heroes , así como otras formas de compensación para todos los demás juegos de Sony Online.

Sony anunció que incorporaba a Data Forte al equipo de investigación de Guidance Software y Protiviti para analizar los ataques. Los aspectos legales del caso fueron gestionados por Baker & McKenzie. ^{[ 44 ]} Sony declaró su creencia de que Anonymous , un grupo descentralizado, desorganizado y poco afiliado de hackers y activistas, podría haber realizado el ataque. ^{[ 45 ]} Ningún miembro de Anonymous afirmó tener participación alguna. ^{[ 46 ]}

Sony declaró que había comenzado las "etapas finales de las pruebas internas" para PlayStation Network, que había sido reconstruida. ^{[ 47 ]} Sin embargo, al día siguiente Sony informó que no podrían restablecer los servicios en línea dentro del plazo de una semana dado el 1 de mayo, porque "el alcance del ataque a los servidores de Sony Online Entertainment" no se conocía en ese momento. ^{[ 48 ]} SOE confirmó en su cuenta de Twitter que sus juegos no estarían disponibles hasta algún tiempo después del fin de semana. ^{[ 49 ]}

Reuters comenzó a informar sobre el evento como "la mayor intrusión en la seguridad de Internet de la historia". ^{[ 50 ]} Un portavoz de Sony dijo: ^{[ 51 ]}

• Sony eliminó los datos personales de 2.500 personas robados por hackers y publicados en un sitio web.
• Los datos incluían nombres y algunas direcciones, que se encontraban en una base de datos creada en 2001.
• No se había fijado ninguna fecha para el reinicio.

Varios servicios comenzaron a reactivarse país por país, comenzando por Norteamérica. ^{[ 52 ]} Estos servicios incluían: inicio de sesión para los servicios de PSN y Qriocity (incluido el restablecimiento de contraseña), juego en línea en PS3 y PSP, reproducción de contenido de video alquilado, servicio Music Unlimited (PS3 y PC), acceso a servicios de terceros (como Netflix, Hulu, Vudu y MLB.tv), lista de amigos, función de chat y PlayStation Home. ^{[ 52 ]} Las acciones vinieron con una actualización de firmware para PS3, versión 3.61. ^{[ 53 ]} Al 15 de mayo, el servicio en Japón y Asia Oriental aún no había sido aprobado. ^{[ 54 ]}

Sony cerró la página de restablecimiento de contraseñas en su sitio tras el descubrimiento de otra vulnerabilidad ^{[ 55 ]} que permitía a los usuarios restablecer las contraseñas de otros usuarios, utilizando la dirección de correo electrónico y la fecha de nacimiento de estos. ^{[ 56 ]} También se deshabilitó el inicio de sesión con los datos de PSN en varios otros sitios web de Sony, pero los inicios de sesión en consolas no se vieron afectados. ^{[ 55 ]}

Sony declaró que los costos de la interrupción fueron de 171 millones de dólares. ^{[ 57 ]}

El senador estadounidense Richard Blumenthal, de Connecticut, exigió explicaciones a Sony sobre la filtración de datos ^{[ 63 ]} enviando un correo electrónico al director ejecutivo de SCEA, Jack Tretton, en el que argumentaba sobre la demora en informar a sus clientes e insistía en que Sony hiciera más por ellos que simplemente ofrecer servicios gratuitos de informes crediticios. Posteriormente, Blumenthal solicitó una investigación al Departamento de Justicia de Estados Unidos para encontrar a la persona o personas responsables y determinar si Sony era responsable de la forma en que manejó la situación. ^{[ 64 ]}

La congresista Mary Bono Mack y el congresista GK Butterfield enviaron una carta a Sony exigiendo información sobre cuándo se descubrió la brecha y cómo se manejaría la crisis. ^{[ 65 ]}

La Comisionada de Privacidad de Canadá, Jennifer Stoddart, confirmó que las autoridades canadienses investigarían el caso. La oficina de la Comisionada expresó su preocupación por el hecho de que las autoridades canadienses no hubieran sido informadas antes de la violación de seguridad. ^{[ 66 ]}

Tras una investigación formal a Sony por infracciones de la Ley de Protección de Datos del Reino Unido de 1998 , la Oficina del Comisionado de Información multó a Sony con 250.000 libras esterlinas (395.000 dólares) y emitió un comunicado muy crítico con las medidas de seguridad que Sony tenía implementadas:

Si usted es responsable de tantos datos de tarjetas de pago e información de inicio de sesión, entonces mantener esos datos personales seguros debe ser su prioridad. En este caso, simplemente no sucedió, y cuando la base de datos fue atacada —aunque en un ataque criminal premeditado— las medidas de seguridad implementadas simplemente no fueron suficientes. Es innegable que esta es una empresa que debería haber actuado con mayor responsabilidad. Es una compañía que basa su negocio en su experiencia técnica, y no me cabe duda de que tenían acceso tanto al conocimiento técnico como a los recursos para mantener esta información segura. ^{[ 67 ]}

El 27 de abril, Kristopher Johns, de Birmingham, Alabama, presentó una demanda en nombre de todos los usuarios de PlayStation alegando que Sony "no encriptaba los datos ni establecía cortafuegos adecuados para gestionar una contingencia de intrusión en el servidor, no proporcionaba advertencias rápidas y adecuadas sobre las brechas de seguridad y se demoraba injustificadamente en volver a poner en línea el servicio PSN". ^{[ 68 ] [ 69 ]} Según la demanda presentada, Sony no notificó a los miembros sobre una posible brecha de seguridad y el almacenamiento de la información de las tarjetas de crédito de los miembros, ^{[ 70 ]} una violación del cumplimiento de PCI , el estándar de seguridad digital para la industria de tarjetas de pago.

Una demanda canadiense contra Sony USA, Sony Canadá y Sony Japón reclamaba daños y perjuicios por un monto de hasta 1.000 millones de dólares canadienses, incluyendo servicios gratuitos de monitoreo de crédito y seguro contra robo de identidad. ^{[ 71 ]} El demandante declaró: «Si no se puede confiar en una gran corporación multinacional como Sony para proteger la información privada, ¿en quién se puede confiar? Me parece que Sony se centra más en proteger sus juegos que a sus usuarios de PlayStation». ^{[ 72 ]}

En octubre de 2012, un juez de California desestimó una demanda contra Sony por la brecha de seguridad de PSN, dictaminando que Sony no había violado las leyes de protección al consumidor de California, citando que "no existe la seguridad perfecta". ^{[ 73 ]}

En una conferencia de prensa en Tokio el 1 de mayo, Sony anunció un programa de bienvenida. Además de "contenido de entretenimiento selecto de PlayStation", el programa prometía 30 días de suscripción gratuita a PlayStation Plus para todos los miembros de PSN, mientras que los miembros actuales de PlayStation Plus recibían 30 días adicionales en su suscripción. Los suscriptores de Qriocity también recibieron 30 días. Sony prometió otros contenidos y servicios en las próximas semanas. ^{[ 35 ]}

Hulu compensó a los usuarios de PlayStation 3 por la imposibilidad de usar su servicio durante la interrupción ofreciendo una semana de servicio gratuito a los miembros de Hulu Plus. ^{[ 74 ]}

El 16 de mayo de 2011, Sony anunció que dos juegos de PlayStation 3 y dos juegos de PSP se ofrecerían gratis de listas de cinco y cuatro, ^† respectivamente. ^{[ 75 ] [ 76 ]} Los juegos disponibles variaban según la región ^{[ 75 ] [ 76 ]} y solo estaban disponibles en países que tenían acceso a PlayStation Store antes de la interrupción. ^{[ 76 ]} El 27 de mayo de 2011, Sony anunció el paquete de "bienvenida" para Japón ^{[ 77 ]} y la región de Asia (Hong Kong, Singapur, Malasia, Tailandia e Indonesia). ^{[ 78 ]} En la región de Asia, se ofreció un tema - Dokodemo Issyo Spring Theme - gratis además de los juegos disponibles en el paquete de "bienvenida". ^{[ 78 ]}

^† Se ofrecen 5 juegos de PSP en el mercado japonés. ^{[ 77 ]}

^‡ La versión deKillzone Liberationofrecida no ofrece funcionalidad de juego en línea. ^{[ 76 ]}

En internet circularon informes de que algunos usuarios habían sufrido fraude con tarjetas de crédito; ^{[ 79 ] [ 80 ] [ 81 ]} sin embargo, aún no se les había vinculado con el incidente. Sony afirmó que los códigos CSC solicitados por sus servicios no se almacenaban, ^{[ 82 ]} pero es posible que los hackers hubieran podido descifrar o registrar los datos de las tarjetas de crédito mientras estaban dentro de la red de Sony. ^{[ 79 ]}

El 5 de mayo, una carta del director ejecutivo y presidente de Sony Corporation of America, Sir Howard Stringer, enfatizó que no había evidencia de fraude con tarjetas de crédito y que una póliza de seguro contra robo de identidad de 1 millón de dólares estaría disponible para los usuarios de PSN y Qriocity. ^{[ 40 ]}