Сбой в работе PlayStation Network в 2011 году ( иногда называемый взломом PSN ) стал результатом « внешнего вторжения » в службы PlayStation Network и Qriocity компании Sony , в результате которого были скомпрометированы персональные данные приблизительно 77 миллионов аккаунтов, что помешало пользователям консолей PlayStation 3 и PlayStation Portable получить доступ к службе. [1] [2] [3] [4] Атака произошла в период с 17 по 19 апреля 2011 года, [1] что вынудило Sony деактивировать серверы PlayStation Network 20 апреля. Сбой продолжался 23 дня. [5]
Правительственные чиновники в разных странах выразили обеспокоенность по поводу кражи и недельной задержки Sony с предупреждением своих пользователей. Нарушение привело к раскрытию и уязвимости личной информации, включая имена пользователей, физические адреса, адреса электронной почты, даты рождения, пароли и финансовые данные, такие как информация о кредитных и дебетовых картах. [6]
Персональные данные приблизительно 77 миллионов учетных записей были скомпрометированы, что помешало пользователям консолей PlayStation 3 и PlayStation Portable получить доступ к сервису. [1] [2] [3] [4]
Данные кредитных карт были зашифрованы, но Sony признала, что другая информация пользователя не была зашифрована во время вторжения. [7] [8] Daily Telegraph сообщила, что «если провайдер хранит пароли в незашифрованном виде, то очень легко для кого-то другого — не только внешнего злоумышленника, но и сотрудников или подрядчиков, работающих на сайте Sony — получить доступ и узнать эти пароли, потенциально используя их в нечестных целях». [9] 2 мая Sony прояснила «незашифрованный» статус паролей пользователей, заявив, что: [10]
Хотя хранившиеся пароли не были «зашифрованы», они были преобразованы с использованием криптографической хэш-функции . Между этими двумя типами мер безопасности есть разница, поэтому мы и сказали, что пароли не были зашифрованы. Но я хочу быть предельно ясным, что пароли не хранились в нашей базе данных в виде открытого текста.
26 апреля, почти через неделю после сбоя, Sony подтвердила, что она «не может исключить возможность» [11], что персональная информация, такая как имя пользователя учетной записи PlayStation Network, пароль, домашний адрес и адрес электронной почты, была скомпрометирована. Sony также упомянула возможность того, что данные кредитных карт были украдены — после заявления о том, что базы данных были зашифрованы, что частично удовлетворяет требованиям PCI Compliance для хранения информации о кредитных картах на сервере. После объявления как в официальном блоге, так и по электронной почте, пользователям было предложено защищать транзакции по кредитным картам, проверяя выписки из банковских счетов. Это предупреждение появилось почти через неделю после первоначального « внешнего вторжения », и в то время как Сеть была отключена. [12]
На момент отключения, когда было зарегистрировано 77 миллионов учетных записей PlayStation Network, [13] это была не только одна из крупнейших утечек безопасности данных, но и самый продолжительный сбой в работе PS Network в истории. [14] [15] Он превзошел взлом TJX 2007 года , который затронул 45 миллионов клиентов. [16]
В 2012 году The Guardian писала:
Атака, которая могла привести к утечке данных кредитных карт миллионов пользователей, никогда не была отслежена ни в одной группе – хотя Sony вскоре предположила, что Anonymous могли быть замешаны. С тех пор она не предоставила никаких дополнительных подробностей о том, кого она подозревает в проведении атаки, и никакие данные об атаке никогда не были опубликованы публично. [17]
Sony признала в официальном блоге PlayStation, что ей «известно, что некоторые функции PlayStation Network» были отключены. При попытке войти в систему через PlayStation 3 пользователи получили сообщение о том, что сеть «находится на обслуживании». [18] [19] На следующий день Sony попросила своих клиентов проявить терпение, пока будет расследована причина сбоя, и заявила, что может потребоваться «полный день или два», чтобы снова полностью восстановить работу сервиса. [20] Sony приостановила все сервисы PlayStation Network и Qriocity по всему миру. [21]
Хотя большинство игр оставались играбельными в офлайн-режиме, PlayStation 3 не могла играть в некоторые игры Capcom в любой форме. Поставщики потокового видео в разных регионах, такие как Hulu , Vudu , Netflix и LoveFilm, отображали одно и то же сообщение о техническом обслуживании. Некоторые пользователи утверждали, что могут использовать потоковый сервис Netflix [22], но другие не могли. [23]
Sony объявила, что «внешнее вторжение» затронуло сервисы PlayStation Network и Qriocity. [24]
Sony выразила сожаление по поводу простоя и назвала задачу по восстановлению системы «трудоемкой», но она приведет к укреплению сетевой инфраструктуры и повышению безопасности. [25]
Представитель Sony Патрик Сейболд повторил в блоге PlayStation, что исправление и улучшение сети — это «длительный» процесс, не имеющий предполагаемого времени завершения. [26] Однако на следующий день Sony заявила, что существует «ясный путь к тому, чтобы системы PlayStation Network и Qriocity снова были в сети», и некоторые сервисы, как ожидается, будут восстановлены в течение недели. Кроме того, Sony признала «компрометацию личной информации в результате незаконного вторжения в наши системы». [27]
26 апреля 2011 года компания Sony объяснила в блоге PlayStation, почему потребовалось так много времени, чтобы сообщить пользователям PSN о краже данных: [28]
Существует разница во времени между тем, когда мы обнаружили, что произошло вторжение, и тем, когда мы узнали о том, что данные потребителей были скомпрометированы. Мы узнали о вторжении 19 апреля и впоследствии закрыли службы. Затем мы привлекли внешних экспертов, чтобы они помогли нам узнать, как произошло вторжение, и провести расследование, чтобы определить характер и масштаб инцидента. Потребовалось несколько дней судебно-медицинского анализа, и нашим экспертам потребовалось до вчерашнего дня, чтобы понять масштаб нарушения. Затем мы поделились этой информацией с нашими потребителями и объявили об этом публично сегодня днем.
Sony предоставит обновленную информацию относительно уголовного расследования в блоге, опубликованном 27 апреля: «В настоящее время мы работаем с правоохранительными органами по этому вопросу, а также с признанной фирмой по безопасности технологий, чтобы провести полное расследование. Эта вредоносная атака на нашу систему и наших клиентов является преступным деянием, и мы активно действуем, чтобы найти ответственных». [7]
Sony объявила о программе «Welcome Back» для клиентов, пострадавших от сбоя. Компания также подтвердила, что некоторые сервисы PSN и Qriocity будут доступны в течение первой недели мая. [29] [30]
Sony выпустила пресс-релиз, согласно которому сервисы Sony Online Entertainment (SOE) были отключены для технического обслуживания из-за потенциально связанных с этим действий во время первоначального криминального взлома. Более 12 000 номеров кредитных карт, хотя и в зашифрованном виде, от владельцев карт за пределами США и дополнительная информация из 24,7 миллионов счетов SOE могли быть доступны. [31] [32]
В течение недели Sony направила письмо в Палату представителей США , в котором ответила на вопросы и выразила обеспокоенность по поводу этого события. [33] В письме Sony объявила, что будет предоставлять полисы страхования от кражи личных данных на сумму 1 миллион долларов США на пользователя служб PlayStation Network и Qriocity, несмотря на отсутствие сообщений о мошенничестве с кредитными картами. Это было позже подтверждено в блоге PlayStation, где было объявлено, что услуга AllClear ID Plus на базе Debix будет доступна пользователям в Соединенных Штатах бесплатно в течение 12 месяцев и будет включать в себя интернет-наблюдение, полное восстановление личных данных в случае кражи и полис страхования от кражи личных данных на сумму 1 миллион долларов США для каждого пользователя. [34] [35]
Генеральный директор Sony Computer Entertainment Казуо Хираи повторил, что «внешнее вторжение», которое заставило их закрыть PlayStation Network, представляет собой «преступную кибератаку». [36] Хираи расширил свои доводы, заявив, что системы Sony подвергались атакам до отключения «в течение последних полутора месяцев», что предполагает согласованную попытку нацелиться на Sony. [37]
3 мая Sony заявила в пресс-релизе, что может быть связь между атакой, произошедшей 16 апреля на PlayStation Network, и атакой, которая скомпрометировала Sony Online Entertainment 2 мая. [31] Эта часть атаки привела к краже информации о 24,6 миллионах владельцев учетных записей Sony Online Entertainment. База данных содержала 12 700 номеров кредитных карт, в частности, нерезидентов США, и не использовалась с 2007 года, поскольку большая часть данных относилась к просроченным картам и удаленным учетным записям. Sony обновила эту информацию на следующий день, заявив, что только 900 карт в базе данных все еще действительны. [38] Атака привела к приостановке работы серверов SOE и игр Facebook . SOE предоставила 30 дней бесплатного времени, плюс один день за каждый день простоя сервера, пользователям Clone Wars Adventures , DC Universe Online , EverQuest , EverQuest II , EverQuest Online Adventures , Free Realms , Pirates of the Burning Sea , PlanetSide , Poxnora , Star Wars Galaxies и Vanguard: Saga of Heroes , а также другие формы компенсации для всех других игр Sony Online.
Sony объявила, что добавляет Data Forte в следственную группу Guidance Software и Protiviti для анализа атак. Юридические аспекты дела были рассмотрены Baker & McKenzie. [39] Sony заявила, что, по их мнению, Anonymous , децентрализованная неорганизованная слабо связанная группа хакеров и активистов, могла осуществить атаку. [40] Ни один Anons не заявил о своей причастности. [41]
Sony заявила, что они начали «заключительные этапы внутреннего тестирования» PlayStation Network, которая была восстановлена. [42] Однако на следующий день Sony сообщила, что они не смогут возобновить работу сервисов в течение недельного срока, указанного 1 мая, поскольку «масштабы атаки на серверы Sony Online Entertainment» на тот момент не были известны. [43] SOE подтвердила в своем аккаунте Twitter , что их игры не будут доступны до некоторого времени после выходных. [44]
Агентство Reuters начало сообщать об этом событии как о «крупнейшем взломе интернет-безопасности за всю историю». [45] Представитель Sony сказал: [46]
Различные сервисы начали возвращаться в онлайн по странам, начиная с Северной Америки. [47] Эти сервисы включали: вход в сервисы PSN и Qriocity (включая сброс пароля), онлайн-игры на PS3 и PSP, воспроизведение арендованного видеоконтента, сервис Music Unlimited (PS3 и ПК), доступ к сторонним сервисам (таким как Netflix, Hulu, Vudu и MLB.tv), список друзей, функциональность чата и PlayStation Home. [47] Действия пришли с обновлением прошивки для PS3, версии 3.61. [48] По состоянию на 15 мая сервис в Японии и Восточной Азии еще не был одобрен. [49]
Sony закрыла страницу сброса пароля на своем сайте после обнаружения другого эксплойта [50] , который позволял пользователям сбрасывать пароли других пользователей, используя адрес электронной почты и дату рождения другого пользователя. [51] Вход с использованием данных PSN на различные другие веб-сайты Sony также был отключен, но вход с консоли не был затронут. [50]
Sony заявила, что убытки от простоя составили 171 миллион долларов. [52]
Грэм Клули, старший технологический консультант компании Sophos , заявил, что утечка «безусловно считается одной из крупнейших потерь данных, когда-либо затронувших отдельных лиц». [53]
Эксперты по безопасности Юджин Лапидус из AnchorFree, Честер Вишневски из Sophos Canada и Авнер Левин из Университета Райерсона (ныне Университет Торонто Метрополитен) раскритиковали Sony, поставив под сомнение ее методы защиты пользовательских данных. Лапидус назвал нарушение «труднооправданным», а Вишневски назвал его «актом высокомерия или просто грубой некомпетентности». [54] [55] [56] [57]
Сенатор США Ричард Блюменталь из Коннектикута потребовал от Sony ответов об утечке данных [58] , отправив электронное письмо генеральному директору SCEA Джеку Треттону, в котором он утверждал о задержке в информировании своих клиентов и настаивал на том, чтобы Sony делала для своих клиентов больше, чем просто предлагала бесплатные услуги по кредитной отчетности. Позже Блюменталь призвал Министерство юстиции США провести расследование , чтобы найти ответственное лицо или лиц и определить, несет ли Sony ответственность за то, как она справилась с ситуацией. [59]
Конгрессмен Мэри Боно Мэк и конгрессмен Г. К. Баттерфилд направили в Sony письмо с требованием предоставить информацию о том, когда была обнаружена утечка и как будет решаться кризис. [60]
Комиссар по вопросам конфиденциальности Канады Дженнифер Стоддарт подтвердила, что канадские власти проведут расследование. Офис комиссара выразил обеспокоенность тем, почему власти Канады не были проинформированы о нарушении безопасности ранее. [61]
После официального расследования в отношении Sony на предмет нарушения Закона Великобритании о защите данных 1998 года Управление комиссара по информации оштрафовало Sony на 250 000 фунтов стерлингов (395 000 долларов США) и опубликовало заявление, в котором резко критиковалась система безопасности, применяемая Sony:
Если вы несете ответственность за так много данных платежных карт и данных для входа в систему, то сохранение этих персональных данных в безопасности должно быть вашим приоритетом. В этом случае этого просто не произошло, и когда база данных подверглась атаке – хотя и в ходе целенаправленной преступной атаки – принятые меры безопасности оказались просто недостаточно хороши. Невозможно скрыть, что это бизнес, который должен был знать лучше. Это компания, которая торгует своей технической экспертизой, и у меня нет сомнений, что у них был доступ как к техническим знаниям, так и к ресурсам для сохранения этой информации в безопасности. [62]
27 апреля Кристофер Джонс из Бирмингема, штат Алабама, подал иск от имени всех пользователей PlayStation, утверждая, что Sony «не смогла зашифровать данные и установить адекватные брандмауэры для обработки непредвиденных обстоятельств, связанных со вторжением на сервер, не предоставила быстрых и адекватных предупреждений о нарушениях безопасности и необоснованно задержала восстановление работы сервиса PSN». [63] [64] Согласно жалобе, поданной в иске, Sony не уведомила участников о возможном нарушении безопасности и не сохранила информацию о кредитных картах участников, [65] что является нарушением PCI Compliance — цифрового стандарта безопасности для индустрии платежных карт.
Канадский иск против Sony USA, Sony Canada и Sony Japan потребовал возмещения ущерба в размере до 1 млрд канадских долларов , включая бесплатный кредитный мониторинг и страхование от кражи личных данных. [66] Истец заявил: «Если вы не можете доверять такой огромной многонациональной корпорации, как Sony, в защите вашей личной информации, кому вы можете доверять? Мне кажется, что Sony больше фокусируется на защите своих игр, чем на защите пользователей PlayStation». [67]
В октябре 2012 года судья Калифорнии отклонил иск против Sony из-за нарушения безопасности PSN, постановив, что Sony не нарушала законы Калифорнии о защите прав потребителей, сославшись на то, что «идеальной безопасности не существует». [68]
На пресс-конференции в Токио 1 мая Sony анонсировала программу «Welcome Back». Помимо «избранного развлекательного контента PlayStation» программа обещала включать 30 дней бесплатного членства PlayStation Plus для всех участников PSN, в то время как существующие участники PlayStation Plus получили дополнительные 30 дней к своей подписке. Подписчики Qriocity получили 30 дней. Sony обещала другой контент и услуги в течение следующих недель. [30]
Hulu компенсировала пользователям PlayStation 3 невозможность пользоваться сервисом во время сбоя, предложив подписчикам Hulu Plus одну неделю бесплатного обслуживания. [69]
16 мая 2011 года Sony объявила, что две игры для PlayStation 3 и две игры для PSP будут предлагаться бесплатно из списков по пять и четыре игры † соответственно. [70] [71] Доступные игры различались в зависимости от региона [70] [71] и были доступны только в странах, которые имели доступ к PlayStation Store до отключения. [71] 27 мая 2011 года Sony объявила о пакете «welcome back» для Японии [72] и азиатского региона (Гонконг, Сингапур, Малайзия, Таиланд и Индонезия). [73] В азиатском регионе тема — Dokodemo Issyo Spring Theme — предлагалась бесплатно в дополнение к играм, доступным в пакете «welcome back». [73]
^† На японском рынке предлагается 5 игр для PSP. [72]
^‡ Предлагаемая версия Killzone Liberation не предлагает возможности сетевой игры. [71]
В Интернете появились сообщения о том, что некоторые пользователи столкнулись с мошенничеством с кредитными картами; [74] [75] [76] однако их пока не связали с инцидентом. Sony заявила, что коды CSC, запрашиваемые их службами, не были сохранены, [77] но хакеры могли расшифровать или записать данные кредитных карт, находясь внутри сети Sony. [74]
5 мая в письме генерального директора и президента Sony Corporation of America сэра Говарда Стрингера подчеркивалось, что нет никаких доказательств мошенничества с кредитными картами и что пользователям PSN и Qriocity будет доступен полис страхования от кражи личных данных на сумму 1 миллион долларов. [35]
В марте 2010 года Sony выпустила обновление прошивки для PlayStation 3 , которое удалило возможность установки сторонних операционных систем, таких как Linux. [78] [79] Этот шаг вызвал значительную негативную реакцию со стороны сообщества моддеров.
Джордж Хотц , также известный как Geohot, сумел сделать джейлбрейк прошивки PS3 2 января 2011 года и вскоре после этого начал делиться джейлбрейком в сети. [80] В ответ на это Sony подала в суд на Хотца 11 января 2011 года за его деятельность по джейлбрейку. [81]
Хакерская группа Anonymous инициировала «Операцию Sony» 2 апреля 2011 года в качестве формы протеста. [79] В конечном итоге Sony урегулировала судебный процесс с Хотцем к 11 апреля. [82] После этого Anonymous призвали к публичному протесту против Sony 13 апреля. [79]