Expedientes GF: el gran apagón de PlayStation Network

En 2011, Sony sufrió un ataque informático que afectó a varias de sus plataformas. Los supuestos hackers penetraron la seguridad de los servidores de Sony Pictures Entertainment y PlayStation Network, dejando inoperables los servicios en línea de PS3 y PSP. La información personal y financiera de 77 millones de personas suscritas al servicio fueron expuestas en el periodo del apagón. Este es considerado como una de las brechas de seguridad más grandes de la historia y llamó la atención de varios cuerpos gubernamentales en el mundo.

En este capítulo de los Expedientes GF, exploraremos el gran apagón de PlayStation Network.

Control de daños en PlayStation Network

El 20 de abril de 2011, los usuarios de PlayStation Network comenzaron a experimentar caídas con su servicio para multijugador en línea. Sony reconoció estos fallos e informó a los usuarios que estarían haciendo tareas de mantenimiento. La compañía pidió paciencia y dijo que los servicios se reanudarían en un día o dos.

Ese mismo día, Sony informó al público que una “intrusión de terceros” había afectado los servicios de PlayStation Network y Qriocity. El ataque fue detectado entre el 17 y 19 de abril. Con el aviso, los servidores fueron desactivados para determinar los daños de la brecha y la información robada por los invasores. El apagón de PlayStation Network tuvo una duración de 23 días.

La razón en la demora de Sony para reactivar sus servicios recayó en investigaciones referentes a robo de datos y filtración de información esencial. La compañía colaboró con las autoridades para determinar el daño causado por los hackers.

El gran golpe informático del siglo

En una carta dirigida a la Cámara de Representantes de los Estados Unidos, Sony compareció su informe sobre la invasión de seguridad de sus servidores. En el reporte, la empresa reportó que 12.3 millones de usuarios de PlayStation Network tenían información financiera registrada en su sistema. Esto incluía tarjetas de crédito activas y vencidas.

Aunque no se reportaron casos masivos de fraude por tarjeta, algunos usuarios indicaron operaciones no autorizadas realizadas con sus plásticos. Sony afirmó que los códigos de la seguridad estaban encriptados, pero los hackers pudieron haber tenido la posibilidad de acceder a estos estando dentro de la red de PlayStation Network.

Adicionalmente, la información personal de más de 70 millones de usuarios de PSN fue expuesta al público. Sony aceptó que los datos no estaban encriptados, pero las contraseñas estaban protegidas por una función criptográfica. Esto impide que las claves sean mostradas en un texto plano.

Reconstruyendo PlayStation Network después del apagón

Durante los primeros días de mayo, Sony tuvo que reconstruir los servidores de PlayStation Network. En el transcurso de esa primera semana, el acceso a juegos y otros servicios fue limitado. El 14 de mayo, la red de PSN y Qriocity fue restaurada de forma eventual en todos los países. Para recuperar la confianza en los usuarios, Sony anunció un paquete de bienvenida, el cual incluyó 30 días gratis de PlayStation Plus y dos juegos de PS3 o PSP como regalo. Entre los títulos estuvieron InFamous, LittleBigPlanet, Wipeout HD y ModNation Racers.

Para evitar daños por robo de identidad, Sony ofreció una póliza de seguro de hasta un millón de dólares por cada usuario afectado.

Sony tenía sospechas del grupo ‘hacktivista’ Anonymous por los ataques a los servidores de PSN. No obstante, el grupo respondió por medio de un comunicado que no estaban involucrados. Las acciones fueron atribuidas al grupo de hackers LulzSec, quienes fueron arrestados dos años después por crímenes digitales a organizaciones como la CIA, la Fuerza Aérea de los Estados Unidos y Sony.

Los costos acumulados por el daño a PlayStation Network ascendieron a los $171 millones de dólares.

La confianza es algo que no se recupera

La tormenta de críticas no se hizo esperar con este ciberataque. Expertos en seguridad y representantes gubernamentales cuestionaron la decisión de Sony de no informar de la brecha a sus servidores en el momento preciso y haber esperado una semana después. La compañía pasó por un fuerte escrutinio por su manejo de la información personal de sus usuarios.

Sony también recibió demandas colectivas alrededor del mundo por no asegurarse de proteger la información de los miembros afectados. Esto obligó a Sony a cambiar sus términos de servicio y hacer que sus usuarios renuncien a la posibilidad de entablar acciones legales colectivas en caso de que vuelva ocurrir un caso similar.

Pronto volveremos con un nuevo caso de los Expedientes GF. Hay muchas historias de la industria de los videojuegos que esperan ser contadas.