Sony responde al Congreso de Estados Unidos con una carta

El ataque que causó la interrupción de los servicios proporcionados por la PlayStation Network a millones de usuarios, situación que está por cumplir dos semanas sin ser solucionada, sin mencionar el reciente ataque a los servidores de Sony Online Entertainment, son considerados como “un ciberataque criminal cuidadosamente planeado, muy profesional y altamente sofisticado, diseñado para robar información personal y de tarjetas de crédito” en una carta dirigida a los miembros del Congreso de los Estados Unidos por parte de Sony.

La compañía se negó a testificar en las audiencias del Congreso en relación con la amenaza de robo de información a los consumidores estadounidenses, pero proporcionaron algunas respuestas por medio de una carta de ocho páginas con fecha del 3 de mayo, escrita por Kaz Hirai, director de la junta directiva de Sony Computer Entertainment of America, donde se explica cómo fue detectada la intrusión externa en el sistema y el fuerte impacto que tuvo en la compañía multinacional. Sony también informó al Subcomité de Manufactura y Comercio de la Casa de Representantes, que descubrieron un archivo en sus servidores de Sony Online Entertainment con el nombre ‘Anonymous’ y la frase ‘Somos una legión’.

De acuerdo con el documento, el 19 de abril, a las 6:15 pm (GMT -6 Hora de la Ciudad de México), los miembros del equipo Sony Network Entertainment America detectaron actividad no autorizada en el sistema.

“Nuestro equipo de redes comenzó a evaluar esta actividad de inmediato, revisando los logs y analizando la información para determinar si existía un problema con el sistema,” escribió Hirai.

El 20 de abril, temprano por la tarde, el equipo descubrió evidencia de una intrusión externa y de que alguna información había sido tomada de los servidores de la PlayStation Network; desconocían de qué tipo de información se trataba, así que decidieron apagar el sistema. En ese momento comenzó lo que Hirai llama un exhaustivo y sofisticado proceso para identificar los medios de acceso y la naturaleza y magnitud del robo.”

Esa misma tarde se contrató una reconocida firma de seguridad para copiar los servidores y comenzar una investigación más detallada, descubriendo que la magnitud de los daños era mayor de lo que se esperaba.

El 21 de abril Sony contrató una segunda firma de seguridad informática para ayudar a la investigación, y para la noche del 23 de abril, los expertos confirmaron que los intrusos habían utilizado "técnicas muy agresivas y sofisticadas" para invadir la red sin ser detectados.

Al día siguiente, considerando la gravedad del asunto, Sony trajo a un tercer equipo especializado en este tipo de intrusiones. Para el 25 de abril, los equipos confirmaron que la información personal de algunos usuarios había sido robada, pero no habían logrado determinar si dentro de los datos se encontraban los de las tarjetas de crédito.

El 26 de abril Sony notificó a los usuarios que su información personal había sido robada y que no podían descartar la posibilidad de que se incluyeran los datos de sus tarjetas de crédito. La compañía se mostró renuente a hacer públicos los detalles de la intrusión y los robos debido a que les preocupaba que esto pudiera causar confusión entre sus clientes, lo cual podría incitarlos a llevar a cabo acciones innecesarias, hasta que todo fuera corroborado con evidencia denominada forense.

Sony no había determinado aún cuál información de tarjetas de crédito había sido robada, pero comentaron que de los 77 millones de cuentas registradas en PSN y Qriocity, 12.3 de ellos contaban con un archivo con información de sus tarjetas de crédito, de ellos 5.6 son usuarios de Estados Unidos.

Hirai asegura en su carta que la compañía ha descubierto cómo sucedió la intrusión, información que no desean compartir debido a la naturaleza de la investigación que lleva a cabo el FBI, sin embargo, comentó que todavía no se sabe quién está detrás de este ataque. Añadió que la compañía ha tomado acción para prevenir futuras intrusiones, incluyendo el monitoreo por medio de software automatizado de sus redes, mejoras en los niveles de protección de datos y encriptación, nuevos firewalls o cortafuegos, el cambio del centro de información a una nueva locación, y la creación del nuevo cargo de Jefe de Seguridad de Información.

El ejecutivo de Sony consideró el ataque y la investigación como una situación extraordinaria de gran reto para los empleados de Sony Network Entertainment America y SCEA: “[Los trabajadores] Se han enfrentado con decisiones muy difíciles, así como preocupaciones y objetivos, a través de todo este periodo lleno de retos, han actuado de manera cuidadosa y cautelosa para proveer la información correcta y precisa, mientras consideran las preocupaciones de nuestros clientes por obtener información y resolver sus dudas.

“Le pedimos al Comité que considere tanto la conexión entre la seguridad de datos y los cibercrímenes, y el ciberterrorismo que amenazan con convertir a Internet en algo peligroso para los consumidores y el comercio,” concluyó Kazuo Hirai.