Interrupción de PlayStation Network de 2011
# Interrupción de PlayStation Network de 2011

La interrupción de PlayStation Network de 2011 (a veces denominada PSN Hack) fue el resultado de una "intrusión externa" en los servicios de PlayStation Network y Qriocity de Sony, en la que se vieron comprometidos datos personales de aproximadamente 77 millones de cuentas y se impidió que los usuarios de PlayStation 3 y las consolas PlayStation Portable accedan al servicio. El ataque ocurrió entre el 17 y el 19 de abril de 2011, obligando a Sony a desactivar los servidores de PlayStation Network el 20 de abril. El 4 de mayo, Sony confirmó que se había expuesto información de identificación personal de cada una de las 77 millones de cuentas. La interrupción duró 23 días.

En el momento de la interrupción, con un recuento de 77 millones de cuentas de PlayStation Network registradas, no solo se trataba de una de las brechas de seguridad de datos más grandes, sino también de la interrupción de PS Network más larga de la historia. Superó al hackeo a TJX de 2007 que afectó a 45 millones de clientes. Funcionarios gubernamentales de varios países expresaron su preocupación por el robo y el retraso de Sony de una semana antes de advertir a sus usuarios.

Sony declaró el 26 de abril que estaba tratando de poner en funcionamiento los servicios en línea «dentro de una semana». El 14 de mayo, Sony lanzó la versión 3.61 del firmware de PlayStation 3 como un parche de seguridad. El firmware requería que los usuarios cambiaran la contraseña de su cuenta al iniciar sesión. En el momento en que se lanzó el firmware, la red aún estaba fuera de línea. La restauración regional fue anunciada por Kazuo Hirai en un video de Sony. Se compartió un mapa de restauración regional y la red dentro de los Estados Unidos a medida que el servicio volvía a estar en línea.

## Antecedentes

En marzo de 2010, Sony lanzó una actualización de firmware para PlayStation 3, en el que se parcheó una funcionalidad para usar sistemas operativos de terceros, como Linux, en el sistema. Esto había causado indignación en la comunidad de modding del sistema, ya que los sistemas operativos de terceros se usaban con frecuencia en la modificación.

El 2 de enero de 2011, George Hotz logró hacer jailbreak al firmware de PlayStation 3. Un día después, había comenzado a distribuir el jailbreak a través de su sitio web.

El 11 de enero de 2011, Sony había presentado una demanda contra Hotz, por distribuir software para hacer jailbreak a sus sistemas en su sitio web.

El 2 de abril de 2011, un grupo de hackers que decían ser Anonymous, habían declarado la "Operación Sony". Más tarde, esa misma semana, el 11 de abril, Sony retiró la demanda con Hotz.

El 13 de abril, el grupo había lanzado un video en texto a voz, llamando a "Un día de protesta contra Sony".

## Cronología de la interrupción

El 20 de abril de 2011, Sony reconoció en el blog oficial de PlayStation que estaba «consciente de que ciertas funciones de PlayStation Network» estaban inactivas. Al intentar iniciar sesión a través de PlayStation 3, los usuarios recibieron un mensaje que indicaba que la red estaba «en mantenimiento». Al día siguiente, Sony pidió paciencia a sus clientes mientras se investigaba la causa de la interrupción y afirmó que podría tomar «uno o dos días completos» para que el servicio volviese a funcionar por completo.

La empresa anunció más tarde que una "intrusión externa" había afectado los servicios de PlayStation Network y Qriocity. Esta intrusión ocurrió entre el 17 y el 19 de abril. El 20 de abril, Sony suspendió todos los servicios de PlayStation Network y Qriocity en todo el mundo. Sony expresó su pesar por el tiempo de inactividad y calificó la tarea de reparar el sistema como "lenta", pero conduciría a una infraestructura de red más sólida y seguridad adicional. El 25 de abril, el portavoz de Sony, Patrick Seybold, reiteró en el blog de PlayStation que arreglar y mejorar la red era un proceso que "requería mucho tiempo" sin un tiempo estimado de finalización. Sin embargo, al día siguiente, Sony declaró que había un «camino claro para que los sistemas PlayStation Network y Qriocity vuelvan a estar en línea», y que se esperaba que algunos servicios se restablezcan dentro de una semana. Además, Sony reconoció el «compromiso de la información personal como resultado de una intrusión ilegal en nuestros sistemas».

El 1 de mayo, Sony anunció un programa de "Bienvenido de nuevo" para los clientes afectados por la interrupción. La empresa también confirmó que algunos servicios de PSN y Qriocity estarían disponibles durante la primera semana de mayo. La lista de servicios que se esperaba que estuvieran disponibles incluía:

   * Restauración de la jugabilidad en línea en los sistemas PlayStation 3 (PS3) y PSP (PlayStation Portable)

   * Esto incluye títulos que requieren verificación en línea y juegos descargados

   * Acceso a Music Unlimited impulsado por Qriocity para PS3/PSP para suscriptores existentes

   * Acceso a administración de cuentas y restablecimiento de contraseñas

   * Acceso para descargar Movie Rentals vigentes en PS3, PSP y MediaGo

   * PlayStation Home

   * Lista de amigos

   * Funcionalidad de chat

El 2 de mayo, Sony emitió un comunicado de prensa, según el cual los servicios de Sony Online Entertainment (SOE) se habían desconectado por mantenimiento debido a actividades potencialmente relacionadas durante el hackeo criminal inicial. Es posible que se haya accedido a más de 12 000 números de tarjetas de crédito, aunque en forma encriptada, de titulares de tarjetas no estadounidenses e información adicional de 24,7 millones de cuentas SOE.

Durante la semana, Sony envió una carta a la Cámara de Representantes de EE. UU., respondiendo preguntas e inquietudes sobre el evento. En la carta, Sony anunció que proporcionaría pólizas de seguro contra el robo de identidad por un monto de 1 millón de dólares por usuario de los servicios de PlayStation Network y Qriocity, a pesar de que no se indicaron informes de fraude con tarjetas de crédito. Esto se confirmó más tarde en el blog de PlayStation, donde se anunció que el servicio AllClear ID Plus impulsado por Debix, estaría disponible para los usuarios en los Estados Unidos de forma gratuita durante 12 meses e incluiría vigilancia en Internet, reparación completa de la identidad en caso de robo y una póliza de seguro de robo de identidad de 1 millón de dólares para cada usuario.

El 6 de mayo, Sony declaró que había comenzado las «etapas finales de pruebas internas» para PlayStation Network, que había sido reconstruida. Sin embargo, al día siguiente, Sony informó que no podrían volver a poner los servicios en línea dentro del plazo de una semana que habían dado el 1 de mayo, porque «el alcance del ataque a los servidores de Sony Online Entertainment» no se conocía en ese momento. SOE confirmó en su cuenta de Twitter que sus videojuegos no estarían disponibles hasta después del fin de semana.

Reuters comenzó a informar sobre el evento como «el mayor robo de seguridad en Internet de la historia». Un portavoz de Sony dijo:

* Sony había eliminado los datos personales de 2500 personas robados por piratas informáticos y publicados en un sitio web.
* Los datos incluían nombres y algunas direcciones, que estaban en una base de datos creada en 2001
* No se ha fijado fecha para el reinicio

El 14 de mayo, varios servicios comenzaron a volver a estar en línea país por país, comenzando con América del Norte. Estos servicios incluían: inicio de sesión para los servicios de PSN y Qriocity (incluido el restablecimiento de contraseña), jugabilidad en línea en PS3 y PSP, reproducción de contenido de video de alquiler, servicio Music Unlimited (PS3 y PC), acceso a servicios de terceros (como Netflix, Hulu, Vudu y MLB.tv), lista de amigos, funcionalidad de chat y PlayStation Home. Las acciones llegaron con una actualización de firmware para PS3, versión 3.61. Al 15 de mayo, el servicio en Japón y el este de Asia aún no había sido aprobado.

El 18 de mayo, SOE cerró la página de restablecimiento de contraseña en su sitio luego del descubrimiento de otro exploit que permitía a los usuarios restablecer las contraseñas de otros usuarios, utilizando la dirección de correo electrónico y la fecha de nacimiento del otro usuario. También se deshabilitó el inicio de sesión con los detalles de PSN en varios otros sitios web de Sony, pero los inicios de sesión en las consolas no se vieron afectados.

El 23 de mayo, Sony declaró que los costos de la interrupción fueron de 171 millones de dólares.

## Respuesta de Sony

### Cámara de Representantes de EE. UU.

Sony informó el 4 de mayo en el Blog de PlayStation que:

Sony transmitió a través de la carta que:

   * Actuar con cuidado y precaución.

   * Brindar información relevante al público cuando haya sido verificada.

   * Asumir la responsabilidad de nuestras obligaciones con nuestros clientes.

   * Trabajar con las autoridades encargadas de hacer cumplir la ley.

   También informamos al subcomité de lo siguiente:
   * Sony ha sido víctima de un ciberataque criminal muy sofisticado, muy profesional y muy cuidadosamente planeado.

   * Descubrimos que los intrusos habían colocado un archivo en uno de nuestros servidores de Sony Online Entertainment llamado "Anonymous" con las palabras "Somos Legión".

   * Para el 25 de abril, los equipos forenses pudieron confirmar el alcance de los datos personales que creían que se habían tomado y no pudieron descartar si se había accedido a la información de las tarjetas de crédito. El 26 de abril, notificamos a los clientes de esos hechos.

   * Hasta el día de hoy, las principales empresas de tarjetas de crédito no han reportado ninguna transacción fraudulenta que crean que sea el resultado directo de este ataque cibernético.

   * La protección de los datos personales de las personas es la máxima prioridad y también es esencial garantizar que Internet sea segura para el comercio. En todo el mundo, los países y las empresas deberán unirse para garantizar la seguridad del comercio a través de Internet y encontrar formas de combatir el delito cibernético y el terrorismo cibernético.

   * Estamos tomando una serie de medidas para evitar futuras infracciones, incluidos niveles mejorados de protección y cifrado de datos; capacidad mejorada para detectar intrusiones de software, acceso no autorizado y patrones de actividad inusuales; cortafuegos adicionales; establecimiento de un nuevo centro de datos en una ubicación no revelada con mayor seguridad; y el nombramiento de un nuevo Director de Seguridad de la Información (CISO).

### Explicación de los retrasos

El 26 de abril de 2011, Sony explicó en el blog de PlayStation por qué tardó tanto en informar a los usuarios de PSN sobre el robo de datos:

### Investigación de Sony

El posible robo de datos llevó a Sony a proporcionar una actualización con respecto a una investigación criminal en un blog publicado el 27 de abril: «Actualmente estamos trabajando con las fuerzas del orden en este asunto, así como con una firma de seguridad tecnológica reconocida para realizar una investigación completa. Este ataque malicioso contra nuestro sistema y contra nuestros clientes es un acto criminal y estamos procediendo agresivamente para encontrar a los responsables».

El 3 de mayo, el director ejecutivo de Sony Computer Entertainment, Kazuo Hirai, reiteró esto y dijo que la "intrusión externa" que había provocado que cerraran PlayStation Network constituía un "ataque cibernético criminal". Hirai amplió aún más, alegando que los sistemas de Sony habían estado bajo ataque antes de la interrupción «durante el último mes y medio», lo que sugiere un intento concertado de apuntar a Sony.

El 4 de mayo, Sony anunció que agregaría Data Forte al equipo de investigación de Guidance Software y Protiviti para analizar los ataques. Los aspectos legales del caso fueron manejados por Baker & McKenzie. Sony expresó su creencia de que Anonymous, un grupo de piratas informáticos y activistas descentralizados, no organizados y poco afiliados, pudo haber realizado el ataque. Ningún Anon reclamó ninguna participación.

Al enterarse de que se había producido una infracción, Sony inició una investigación interna. Sony informó, en su carta al Congreso de los Estados Unidos:

   ¿Han identificado cómo ocurrió la brecha?

### Incapacidad para usar el contenido de PlayStation 3

Si bien la mayoría de los videojuegos permanecieron jugables en sus modos fuera de línea, PlayStation 3 no pudo reproducir ciertos títulos de Capcom de ninguna forma. Los proveedores de streaming de video en diferentes regiones, como Hulu, Vudu, Netflix y LoveFilm, mostraban el mismo mensaje de mantenimiento. Algunos usuarios afirmaron poder usar el servicio de streaming de Netflix pero otros no pudieron.

## Críticas a Sony

### Aviso retrasado de posible robo de datos

El 26 de abril, casi una semana después de la interrupción, Sony confirmó que «no puede descartar la posibilidad» de que la información de identificación personal, como el nombre de usuario, la contraseña, la dirección particular y la dirección de correo electrónico de la cuenta de PlayStation Network, se haya visto comprometida. Sony también mencionó la posibilidad de que se tomaran datos de tarjetas de crédito, después de afirmar que se había colocado el cifrado en las bases de datos, lo que satisfaría parcialmente el cumplimiento del estándar PCI para almacenar información de tarjetas de crédito en un servidor. Después del anuncio tanto en el blog oficial como por correo electrónico, se pidió a los usuarios que protegieran las transacciones con tarjeta de crédito revisando los extractos bancarios. Esta advertencia llegó casi una semana después de la "intrusión externa" inicial y mientras la red estaba apagada.

Algunos cuestionaron esta explicación y preguntaron que si Sony consideró que la situación era tan grave que tuvo que apagar la red, Sony debería haber advertido a los usuarios sobre un posible robo de datos antes del 26 de abril. Se expresaron preocupaciones sobre las violaciones del cumplimiento del estándar PCI y la falta de notificación inmediata a los usuarios. El senador estadounidense Richard Blumenthal escribió al director ejecutivo de Sony Computer Entertainment America, Jack Tretton, cuestionando la demora.

Sony respondió en una carta al subcomité:

### Datos personales sin cifrar

Los datos de las tarjetas de crédito estaban encriptados, pero Sony admitió que otra información del usuario no estaba encriptada en el momento de la intrusión. The Daily Telegraph informó que «si el proveedor almacena contraseñas sin cifrar, entonces es muy fácil para otra persona (no solo un atacante externo, sino miembros del personal o contratistas que trabajan en el sitio de Sony) obtener acceso y descubrir esas contraseñas, potencialmente usándolas para medios nefastos». El 2 de mayo, Sony aclaró el estado "no cifrado" de las contraseñas de los usuarios, afirmando que:

### Oficina de Comisionados de Información Británicos

Tras una investigación formal de Sony por infracciones a la Ley de Protección de Datos de Reino Unido de 1998, la Oficina del Comisionado de Información emitió una declaración muy crítica sobre la seguridad que tenía Sony:

## Interrupción de Sony Online Entertainment

El 3 de mayo, Sony declaró en un comunicado de prensa que puede haber una correlación entre el ataque ocurrido el 16 de abril hacia PlayStation Network y el que comprometió a Sony Online Entertainment el 2 de mayo. Esta parte del ataque resultó en el robo de información de 24,6 millones de titulares de cuentas de Sony Online Entertainment. La base de datos contenía 12 700 números de tarjetas de crédito, particularmente de no residentes en los EE. UU., y no había estado en uso desde 2007, ya que gran parte de los datos se aplicaban a tarjetas vencidas y cuentas eliminadas. Sony actualizó esta información al día siguiente al afirmar que solo 900 tarjetas en la base de datos seguían siendo válidas. El ataque resultó en la suspensión de los servidores SOE y los videojuegos de Facebook. SOE otorgó 30 días gratuitos, más un día por cada día que el servidor estuvo inactivo, a los usuarios de Clone Wars Adventures, DC Universe Online, EverQuest, EverQuest II, EverQuest Online Adventures, Free Realms, Pirates of the Burning Sea, PlanetSide, Poxnora, Star Wars Galaxies y Vanguard: Saga of Heroes, así como otras formas de compensación para todos los demás videojuegos de Sony Online.

Los expertos en seguridad Eugene Lapidous de AnchorFree, Chester Wisniewski de Sophos Canada y Avner Levin de la Universidad de Ryerson (ahora Universidad Metropolitana de Toronto) criticaron a Sony y cuestionaron sus métodos para proteger los datos de los usuarios. Lapidous calificó la intrusión como «difícil de excusar» y Wisniewski la calificó como «un acto de arrogancia o simplemente incompetencia grave».

## Reacciones

### Compensación a los usuarios

Sony organizó eventos especiales después de que PlayStation Network volviera a funcionar. Sony declaró que tenían planes para las versiones de PS3 de DC Universe Online y Free Realms para ayudar a aliviar algunas de sus pérdidas. En una conferencia de prensa en Tokio el 1 de mayo, Sony anunció un programa titulado "Bienvenido de nuevo". Además del «contenido seleccionado de entretenimiento de PlayStation», el programa prometió incluir 30 días de membresía gratuita de PlayStation Plus para todos los miembros de PSN, mientras que los miembros existentes de PlayStation Plus recibieron 30 días adicionales en su suscripción. Los suscriptores de Qriocity recibieron 30 días. Sony prometió otros contenidos y servicios durante las siguientes semanas.

Hulu compensó a los usuarios de PlayStation 3 por no poder utilizar su servicio durante la interrupción ofreciendo una semana de servicio gratuito a los miembros de Hulu Plus.

El 16 de mayo de 2011, Sony anunció que se ofrecerían dos videojuegos de PlayStation 3 de una lista de cinco videojuegos y dos videojuegos de PSP de una lista de cuatro videojuegos, todo esto de forma gratuita. Los videojuegos disponibles variaban según la región y solo estaban disponibles en países que tenían acceso a PlayStation Store antes de la interrupción. El 27 de mayo de 2011, Sony anunció el paquete de "Bienvenido de nuevo" para Japón y la región de Asia (Hong Kong, Singapur, Malasia, Tailandia e Indonesia). En la región de Asia, se ofreció un tema, Dokodemo Issyo Spring Theme, de forma gratuita además de los videojuegos disponibles en el paquete "Bienvenido de nuevo".

Videouegos de PS3 disponibles por región :

| Videojuego | América del Norte | Europa (sin Alemania) | Alemania | Asia | Japón |
| - | - | - | - | - | - |
| Wipeout HD/Fury | Sí | Sí | Sí | Sí | Sí |
| LittleBigPlanet | Sí | Sí | Sí | No | No |
| InFamous | Sí | Sí | No | No | No |
| Dead Nation | Sí | Sí | No | No | No |
| Super Stardust HD | Sí | No | Sí | No | No |
| Ratchet & Clank: En busca del tesoro | No | Sí | Sí | No | No |
| Hustle Kings | No | No | Sí | Sí | Sí |
| The Last Guy | No | No | No | Sí | Sí |
| Trashbox | No | No | No | Sí | No |
| LocoRoco Cocoreccho! | No | No | No | Sí | Sí |
| Echochrome: Overture | No | No | No | No | Sí |

Videojuegos de PSP disponibles por región :

| Juego | América del Norte | Europa (sin Alemania) | Alemania | Asia | Japón |
| - | - | - | - | - | - |
| LittleBigPlanet | Sí | Sí | Sí | Sí | Sí |
| ModNation Racers | Sí | Sí | Sí | Sí | No |
| Pursuit Force | Sí | Sí | No | No | No |
| Killzone: Liberation | Sí | Sí | No | No | No |
| Everybody's Golf 2 | No | No | Sí | No | No |
| Buzz! Junior: Jungle Party | No | No | Sí | No | No |
| Everybody's Stress Buster | No | No | No | Sí | Sí |
| LocoRoco Midnight Carnival | No | No | No | Sí | Sí |
| Patapon 2 | No | No | No | No | Sí |
| What Did I Do to Deserve This, My Lord? | No | No | No | No | Sí |

### Reacciones políticas alrededor del mundo

El robo de datos preocupó a las autoridades de todo el mundo. Graham Cluley, consultor sénior de tecnología de Sophos, dijo que la brecha «ciertamente se ubica como una de las mayores pérdidas de datos que jamás haya afectado a las personas».

La Oficina del Comisionado de Información Británico declaró que se interrogaría a Sony, y que se llevaría a cabo una investigación para descubrir si Sony había tomado las precauciones adecuadas para proteger los detalles de los clientes. Según la Ley de Protección de Datos de Reino Unido, Sony fue multada con 250 mil libras esterlinas por la infracción.

La comisionada de privacidad de Canadá, Jennifer Stoddart, confirmó que las autoridades canadienses investigarían el asunto. La oficina del Comisionado expresó su preocupación sobre por qué las autoridades de Canadá no fueron informadas antes de esta brecha de seguridad.

El senador estadounidense Richard Blumenthal de Connecticut exigió respuestas de Sony sobre la filtración de datos enviando un correo electrónico al CEO de SCEA, Jack Tretton, argumentando sobre la demora en informar a sus clientes e insistiendo en que Sony haga más por sus clientes que solo ofrecer servicios gratuitos de informes de crédito. Blumenthal luego solicitó una investigación por parte del Departamento de Justicia de los EE. UU. para encontrar a la persona o personas responsables y determinar si Sony era responsable por la forma en que manejó la situación.

La congresista Mary Bono Mack y el congresista GK Butterfield enviaron una carta a Sony, exigiendo información sobre cuándo se descubrió la brecha y cómo se manejaría la crisis.

Se le pidió a Sony que testificara ante una audiencia del Congreso de los Estados Unidos sobre seguridad y que respondiera preguntas sobre la violación de la seguridad el 2 de mayo de 2011, pero envió una respuesta por escrito.

### Acciones legales contra Sony

El 27 de abril, Kristopher Johns, de Birmingham, Alabama, publicó una demanda en nombre de todos los usuarios de PlayStation alegando que Sony «no cifró los datos ni estableció cortafuegos adecuados para manejar una contingencia de intrusión en el servidor, no proporcionó advertencias rápidas y adecuadas sobre brechas de seguridad y se retrasó injustificadamente en volver a poner el servicio de PSN en línea». Según la denuncia presentada en la demanda, Sony no notificó a los miembros sobre una posible brecha de seguridad y el almacenamiento de la información de las tarjetas de crédito de los miembros, una violación del cumplimiento del estándar PCI, el estándar de seguridad digital para la industria de tarjetas de pago.

Una demanda canadiense contra Sony USA, Sony Canada y Sony Japan reclamó daños y perjuicios de hasta 1000 millones de dólares canadienses, incluido el control de crédito gratuito y el seguro contra el robo de identidad. Se citó al demandante diciendo: «Si no puedes confiar en una gran corporación multinacional como Sony para proteger tu información privada, ¿en quién puedes confiar? Me parece que Sony se enfoca más en proteger sus juegos que a sus usuarios de PlayStation».

En octubre de 2012, un juez de California desestimó una demanda contra Sony por la violación de la seguridad de PSN y dictaminó que Sony no había violado las leyes de protección al consumidor de California, citando que "no existe la seguridad perfecta".

### Fraudes de tarjeta de crédito

A fecha de mayo de 2011, no hubo informes verificables de fraude con tarjetas de crédito relacionados con la interrupción. Hubo informes en Internet de que algunos usuarios de PlayStation experimentaron fraude con tarjetas de crédito; sin embargo, aún no habían sido vinculados al incidente. Los usuarios que registraron una tarjeta de crédito para uso exclusivo con Sony también denunciaron fraude con tarjeta de crédito. Sony dijo que los códigos CSC solicitados por sus servicios no fueron almacenados, pero que era posible que los piratas informáticos hayan podido descifrar o registrar los detalles de la tarjetas de crédito mientras estuvieron dentro de la red de Sony.

El 5 de mayo, una carta del CEO y presidente de Sony Corporation of America, Sir Howard Stringer, enfatizó que no había evidencia de fraude con tarjetas de crédito y que una póliza de seguro contra robo de identidad de 1 millón de dólares estaría disponible para los usuarios de PSN y Qriocity.

## Cambio de los términos y condiciones

Se ha sugerido que un cambio en los términos y condiciones de PlayStation Network anunciado el 15 de septiembre de 2011 estuvo motivado por los grandes daños reclamados por las demandas colectivas contra Sony, en un esfuerzo por minimizar las pérdidas de la empresa. El nuevo acuerdo requería que los usuarios accedieran a renunciar a su derecho (a unirse como grupo en una demanda colectiva) a demandar a Sony por cualquier brecha de seguridad futura, sin intentar primero resolver los problemas legales con un árbitro. Esto incluyó cualquier demanda colectiva en curso iniciada antes del 20 de agosto de 2011.

Sony garantizó que un tribunal de justicia en el país respectivo, en este caso EE. UU., tendría jurisdicción con respecto a cualquier regla o cambio en los Términos de servicio de PlayStation Network.

