Sony asegura que un ataque de denegación de servicio despistó a sus sistemas de seguridad

Sony ha remitido al Congreso de EE UU una carta en la que da detalles sobre la intrusión en su plataforma PlayStation Network que ha expuesto los datos de 77 millones de internautas y de Sony Online, que ha afectado a la información almacenada sobre 25 millones de clientes. Según la compañía, el retraso en detectar la intrusión se debió a que coincidió con un ataque de denegación de servicio (petición masiva de páginas de Internet para saturar el servidor) lanzado por el grupo Anonymous.

La carta de Kazuo Hirai, número dos de Sony, asegura que desconoce si los promotores del ataque de denegación de servicio también conspiraron en la intrusión o fueron utilizados por un ladrón muy inteligente para tener cobertura en la intrusión, "eso quizás no lo sabremos nunca". Sony no atribuye la intrusión al grupo Anonymous, pero explica que ha localizado un fichero dejado por los asaltantes con el nombre del grupo y su lema "Somos legión". Anonymous, que lanzó la campaña de denegación de servicio contra Sony, se ha desvinculado del robo de datos. Ayer volvió a emitir un comunicado en el que aseguraba que si la investigación es "honesta y legítima" demostrará que no tienen relación con la intrusión.

Sony, en el citado documento, explica la cronología de los hechos e intenta explicar la tardanza en avisar a los consumidores del problema. El 19 de abril detectó una actividad no autorizada en la plataforma. Al día siguiente descubrió que distinto tipo de datos habían sido transferidos fuera de los servidores de PlayStation Network sin autorización y los administradores los clausuraron. La compañía contrató a una firma de seguridad para analizar el problema. En los siguientes días, fichó a otras dos compañías con idéntico propósito. Los asaltantes borraron ficheros para esconder su presencia y escalaron privilegios en el interior de los servidores. El día 22, la compañía informó al FBI y el 26 lo notificó públicamente tanto a la comunidad internauta como a las autoridades reguladoras. Sony defiende estos plazos asegurando que no quiso dar una información parcial que creara confusión y no decidió hacerla pública hasta no haber corroborado con las compañías contratadas el alcance del asalto.

Llama la atención que la carta no vaya firmada por el patrón de Sony, Howard Stringer, que mantiene un estricto silencio desde que se conoció el asalto. Medios internacionales recogen manifestaciones de ejecutivos de sociedades de inversión criticando el papel de Stringer. Este galés, exproductor de televisión, no ha aparecido en público para dar explicaciones. Este fin de semana, quien compareció para hablar del tema y presentar excusas fue el presidente de la rama de Entretenimiento, Kazuo Hirai, quien tampoco escapa a las críticas, ya que hasta mayo dirigió la promoción de los servicios en red de la compañía. Stringer lleva seis años al frente de Sony y en marzo de este año había asegurado que seguiría en el puesto como mínimo un año más.

El mercado negro de las tarjetas

El grupo Anonymous ya hizo público que no tenía relación con la intrusión y de hecho ha eliminado de sus foros todas las menciones a los ataques de denegación de servicio contra Sony que propició semanas atrás y que ha paralizado para no provocar el descontento entre los jugadores. Por otra parte, en la hipótesis de que la intrusión fuera obra de un ciberdelincuente dedicado a la reventa de datos de tarjetas de crédito, la masiva apropiación de información de clientes de Sony propiciaría un descenso en la cotización de esta mercancía en el mercado ilegal. Según The New York Times, un pirata puede esperar a cobrar entre cinco y diez dólares por el número de una tarjeta de crédito, pero una oferta masiva de los mismos haría descender la cotización a uno o dos dólares.