Sony pudo haber hecho más antes y después del ataque a PSN

Los servicios de PlayStation Network yan lleva cuatro semanas desactivados. Según expertos, diversos errores antes y después del ataque cibernético han llevado a que Sony tenga tantas demoras en reactivar dicha red de videojuegos.

¿Qué se hizo mal antes del ataque?

Los comentarios hechos por Gene Stafford en días pasados no son los únicos que señalan los errores cometidos por Sony. Este profesor de seguridad informática en la Universidad de Purdue dijo ante el Congreso Americano que Sony usó una versión antigua del software del servidor Web Apache sin firewall instalado. Esto facilitó la intrusión de los hackers a dicha red, robando la información de millones de usuarios. Ante esto, Sony negó que las aseveraciones del profesor fuesen ciertas.

Sin embargo, otros expertos parecen estar de acuerdo con Stafford. «Todo lo que he visto sugiere que es mucho, pero mucho lo que se podría haber evitado», dijo Stan Stahl, presidente del capítulo de Los Angeles de la Asociación de Sistemas de Seguridad de la Información (ISSA es la sigla en inglés). Stahl señaló que Sony quiso justificar la caída de PSN culpando a un ataque de denegación de servicio hecho anteriormente a dicha red, el cual debilitó las defensas y permitió el éxito de los hackers. Stahl utilizó esta técnica de hacking ocho años antes para destruir el sitio web de un pequeño acueducto distrital como parte de un trabajo de consultoría, así que conoce perfectamente este tipo de ataques y criticó a Sony por esto, ya que si un ataque como este (básico y viejo) debilitó la red alguna clase de descuido tuvo que tener la compañía japonesa.

Kris Alexander, jefe de estrategia de gaming de Akamai, dijo que los ataques en oleadas múltiples, como los que vulneraron a PSN son bastante comunes. Alexander dijo que es importante que las empresas se preparen para protegerse contra ataques que golpean más de una vez, cosa que según parece Sony no hizo.

Conclusión: existían antecedentes sobre ataques informáticos, se conocían diversas técnicas, teorías y experimentos. Sony no revisó dicha información, permitió descuidos en su seguridad y por tanto los hackers encontraron un lado flaco por dodne atacar.

¿Qué se hizo mal después del ataque?

Mike Meikle, CEO de Hawkthorne Group (consultores de IT), dijo que los errores cometidos se hicieron evidentes por la forma con que Sony respondió a la violación. A esta corporación japonesa le tomó casi seis días informarle a los usarios de PSN que su información privada había sido expuesta al ataque, y para hacer peor las cosas, sólo después de los ataques Sony decidió contratar a un jefe de seguridad que controlaría y monitoraría la red. «Ellos realmente no tenían un proceso definido para hacer frente a las violaciones de datos», dijo Meikle. Muchas empresas no lo hacen porque es un gasto extra y la seguridad de los datos no ha sido un tema candente hasta hace muy poco.

Bruce Schneier, un renombrado experto en seguridad, dijo a Kotaku que ninguna red es verdaderamente segura. En adición a esto,Gary Bahadur (KRAA Security) afirmó que los ataques informáticos son prevenibles. El problema es que objetivos grandes como Sony necesitan invertir recursos considerables para prevenir estos ataques, según dice Steve Santorelli, director de divulgación de Team Cymru. «Si usted es un objetivo lo suficientemente grande, necesita de mucha gente muy talentosa con una gran cantidad de recursos y tiempo para poder trabajar en los sistemas» de seguridad.

Conclusión: Sony no tenía procesos definidos para ataques ciebernéticos, tal vez porque establecerlos requería un esfuerzo económico aparentemente innecesario. Por esto, no sólo hubo demoras en determinar qué había pasado y saber qué daños había sufrido el sistema, sino que también las reacciones correctivas de Sony estpan siendo demoradas. Una compañía como Sony necesita tener un equipo enorme trabajando en la seguridad de la información que administran.

Santorelli agregó que es necesario un cambio radical en la manera de los consumidores tratan a sus datos, ya que los usuarios también tienen la responsabilidad de proteger su información. El experto recomienda no utilizar la misma contraseña para todas las cuentas y utilizar diferentes tarjetas de crédito para als transacciones en línea.

Fuente.