La interrupción de PlayStation Network de 2011 (a veces denominada PSN Hack) fue el resultado de una "intrusión externa" en los servicios de PlayStation Network y Qriocity de Sony, en la que se vieron comprometidos datos personales de aproximadamente 77 millones de cuentas y se impidió que los usuarios de PlayStation 3 y las consolas PlayStation Portable accedan al servicio. El ataque ocurrió entre el 17 y el 19 de abril de 2011, obligando a Sony a desactivar los servidores de PlayStation Network el 20 de abril. El 4 de mayo, Sony confirmó que se había expuesto información de identificación personal de cada una de las 77 millones de cuentas. La interrupción duró 23 días.
En el momento de la interrupción, con un recuento de 77 millones de cuentas de PlayStation Network registradas, no solo se trataba de una de las brechas de seguridad de datos más grandes, sino también de la interrupción de PS Network más larga de la historia. Superó al hackeo a TJX de 2007 que afectó a 45 millones de clientes. Funcionarios gubernamentales de varios países expresaron su preocupación por el robo y el retraso de Sony de una semana antes de advertir a sus usuarios.
Sony declaró el 26 de abril que estaba tratando de poner en funcionamiento los servicios en línea «dentro de una semana». El 14 de mayo, Sony lanzó la versión 3.61 del firmware de PlayStation 3 como un parche de seguridad. El firmware requería que los usuarios cambiaran la contraseña de su cuenta al iniciar sesión. En el momento en que se lanzó el firmware, la red aún estaba fuera de línea. La restauración regional fue anunciada por Kazuo Hirai en un video de Sony. Se compartió un mapa de restauración regional y la red dentro de los Estados Unidos a medida que el servicio volvía a estar en línea.
Antecedentes En marzo de 2010, Sony lanzó una actualización de firmware para PlayStation 3, en el que se parcheó una funcionalidad para usar sistemas operativos de terceros, como Linux, en el sistema. Esto había causado indignación en la comunidad de modding del sistema, ya que los sistemas operativos de terceros se usaban con frecuencia en la modificación.
El 2 de enero de 2011, George Hotz logró hacer jailbreak al firmware de PlayStation 3. Un día después, había comenzado a distribuir el jailbreak a través de su sitio web.
El 11 de enero de 2011, Sony había presentado una demanda contra Hotz, por distribuir software para hacer jailbreak a sus sistemas en su sitio web.
El 2 de abril de 2011, un grupo de hackers que decían ser Anonymous, habían declarado la "Operación Sony". Más tarde, esa misma semana, el 11 de abril, Sony retiró la demanda con Hotz.
El 13 de abril, el grupo había lanzado un video en texto a voz, llamando a "Un día de protesta contra Sony".
Cronología de la interrupción El 20 de abril de 2011, Sony reconoció en el blog oficial de PlayStation que estaba «consciente de que ciertas funciones de PlayStation Network» estaban inactivas. Al intentar iniciar sesión a través de PlayStation 3, los usuarios recibieron un mensaje que indicaba que la red estaba «en mantenimiento». Al día siguiente, Sony pidió paciencia a sus clientes mientras se investigaba la causa de la interrupción y afirmó que podría tomar «uno o dos días completos» para que el servicio volviese a funcionar por completo.
La empresa anunció más tarde que una "intrusión externa" había afectado los servicios de PlayStation Network y Qriocity. Esta intrusión ocurrió entre el 17 y el 19 de abril. El 20 de abril, Sony suspendió todos los servicios de PlayStation Network y Qriocity en todo el mundo. Sony expresó su pesar por el tiempo de inactividad y calificó la tarea de reparar el sistema como "lenta", pero conduciría a una infraestructura de red más sólida y seguridad adicional. El 25 de abril, el portavoz de Sony, Patrick Seybold, reiteró en el blog de PlayStation que arreglar y mejorar la red era un proceso que "requería mucho tiempo" sin un tiempo estimado de finalización. Sin embargo, al día siguiente, Sony declaró que había un «camino claro para que los sistemas PlayStation Network y Qriocity vuelvan a estar en línea», y que se esperaba que algunos servicios se restablezcan dentro de una semana. Además, Sony reconoció el «compromiso de la información personal como resultado de una intrusión ilegal en nuestros sistemas».
El 1 de mayo, Sony anunció un programa de "Bienvenido de nuevo" para los clientes afectados por la interrupción. La empresa también confirmó que algunos servicios de PSN y Qriocity estarían disponibles durante la primera semana de mayo. La lista de servicios que se esperaba que estuvieran disponibles incluía:
El 2 de mayo, Sony emitió un comunicado de prensa, según el cual los servicios de Sony Online Entertainment (SOE) se habían desconectado por mantenimiento debido a actividades potencialmente relacionadas durante el hackeo criminal inicial. Es posible que se haya accedido a más de números de tarjetas de crédito, aunque en forma encriptada, de titulares de tarjetas no estadounidenses e información adicional de 24,7 millones de cuentas SOE.
Durante la semana, Sony envió una carta a la Cámara de Representantes de EE. UU., respondiendo preguntas e inquietudes sobre el evento. En la carta, Sony anunció que proporcionaría pólizas de seguro contra el robo de identidad por un monto de 1 millón de dólares por usuario de los servicios de PlayStation Network y Qriocity, a pesar de que no se indicaron informes de fraude con tarjetas de crédito. Esto se confirmó más tarde en el blog de PlayStation, donde se anunció que el servicio AllClear ID Plus impulsado por Debix, estaría disponible para los usuarios en los Estados Unidos de forma gratuita durante 12 meses e incluiría vigilancia en Internet, reparación completa de la identidad en caso de robo y una póliza de seguro de robo de identidad de 1 millón de dólares para cada usuario.
El 6 de mayo, Sony declaró que había comenzado las «etapas finales de pruebas internas» para PlayStation Network, que había sido reconstruida. Sin embargo, al día siguiente, Sony informó que no podrían volver a poner los servicios en línea dentro del plazo de una semana que habían dado el 1 de mayo, porque «el alcance del ataque a los servidores de Sony Online Entertainment» no se conocía en ese momento. SOE confirmó en su cuenta de Twitter que sus videojuegos no estarían disponibles hasta después del fin de semana.
Reuters comenzó a informar sobre el evento como «el mayor robo de seguridad en Internet de la historia». Un portavoz de Sony dijo:
Sony había eliminado los datos personales de 2500 personas robados por piratas informáticos y publicados en un sitio web. Los datos incluían nombres y algunas direcciones, que estaban en una base de datos creada en 2001 No se ha fijado fecha para el reinicio
El 14 de mayo, varios servicios comenzaron a volver a estar en línea país por país, comenzando con América del Norte. Estos servicios incluían: inicio de sesión para los servicios de PSN y Qriocity (incluido el restablecimiento de contraseña), jugabilidad en línea en PS3 y PSP, reproducción de contenido de video de alquiler, servicio Music Unlimited (PS3 y PC), acceso a servicios de terceros (como Netflix, Hulu, Vudu y MLB.tv), lista de amigos, funcionalidad de chat y PlayStation Home. Las acciones llegaron con una actualización de firmware para PS3, versión 3.61. Al 15 de mayo, el servicio en Japón y el este de Asia aún no había sido aprobado.
El 18 de mayo, SOE cerró la página de restablecimiento de contraseña en su sitio luego del descubrimiento de otro exploit que permitía a los usuarios restablecer las contraseñas de otros usuarios, utilizando la dirección de correo electrónico y la fecha de nacimiento del otro usuario. También se deshabilitó el inicio de sesión con los detalles de PSN en varios otros sitios web de Sony, pero los inicios de sesión en las consolas no se vieron afectados.
El 23 de mayo, Sony declaró que los costos de la interrupción fueron de 171 millones de dólares.
Respuesta de Sony
Cámara de Representantes de EE. UU. Sony informó el 4 de mayo en el Blog de PlayStation que:
Sony transmitió a través de la carta que:
Explicación de los retrasos El 26 de abril de 2011, Sony explicó en el blog de PlayStation por qué tardó tanto en informar a los usuarios de PSN sobre el robo de datos:
Investigación de Sony El posible robo de datos llevó a Sony a proporcionar una actualización con respecto a una investigación criminal en un blog publicado el 27 de abril: «Actualmente estamos trabajando con las fuerzas del orden en este asunto, así como con una firma de seguridad tecnológica reconocida para realizar una investigación completa. Este ataque malicioso contra nuestro sistema y contra nuestros clientes es un acto criminal y estamos procediendo agresivamente para encontrar a los responsables».
El 3 de mayo, el director ejecutivo de Sony Computer Entertainment, Kazuo Hirai, reiteró esto y dijo que la "intrusión externa" que había provocado que cerraran PlayStation Network constituía un "ataque cibernético criminal". Hirai amplió aún más, alegando que los sistemas de Sony habían estado bajo ataque antes de la interrupción «durante el último mes y medio», lo que sugiere un intento concertado de apuntar a Sony.
El 4 de mayo, Sony anunció que agregaría Data Forte al equipo de investigación de Guidance Software y Protiviti para analizar los ataques. Los aspectos legales del caso fueron manejados por Baker & McKenzie. Sony expresó su creencia de que Anonymous, un grupo de piratas informáticos y activistas descentralizados, no organizados y poco afiliados, pudo haber realizado el ataque. Ningún Anon reclamó ninguna participación.
Al enterarse de que se había producido una infracción, Sony inició una investigación interna. Sony informó, en su carta al Congreso de los Estados Unidos:
Incapacidad para usar el contenido de PlayStation 3 Si bien la mayoría de los videojuegos permanecieron jugables en sus modos fuera de línea, PlayStation 3 no pudo reproducir ciertos títulos de Capcom de ninguna forma. Los proveedores de streaming de video en diferentes regiones, como Hulu, Vudu, Netflix y LoveFilm, mostraban el mismo mensaje de mantenimiento. Algunos usuarios afirmaron poder usar el servicio de streaming de Netflix pero otros no pudieron.
Críticas a Sony
Aviso retrasado de posible robo de datos miniaturadeimagen| El modelo original de PlayStation 3 El 26 de abril, casi una semana después de la interrupción, Sony confirmó que «no puede descartar la posibilidad» de que la información de identificación personal, como el nombre de usuario, la contraseña, la dirección particular y la dirección de correo electrónico de la cuenta de PlayStation Network, se haya visto comprometida. Sony también mencionó la posibilidad de que se tomaran datos de tarjetas de crédito, después de afirmar que se había colocado el cifrado en las bases de datos, lo que satisfaría parcialmente el cumplimiento del estándar PCI para almacenar información de tarjetas de crédito en un servidor. Después del anuncio tanto en el blog oficial como por correo electrónico, se pidió a los usuarios que protegieran las transacciones con tarjeta de crédito revisando los extractos bancarios. Esta advertencia llegó casi una semana después de la "intrusión externa" inicial y mientras la red estaba apagada.
Algunos cuestionaron esta explicación y preguntaron que si Sony consideró que la situación era tan grave que tuvo que apagar la red, Sony debería haber advertido a los usuarios sobre un posible robo de datos antes del 26 de abril. Se expresaron preocupaciones sobre las violaciones del cumplimiento del estándar PCI y la falta de notificación inmediata a los usuarios. El senador estadounidense Richard Blumenthal escribió al director ejecutivo de Sony Computer Entertainment America, Jack Tretton, cuestionando la demora.
Sony respondió en una carta al subcomité:
Datos personales sin cifrar