L'interruzione dei servizi PlayStation Network del 2011 (anche conosciuta come PSN Hack) è stata il risultato di un'"intrusione esterna" sui servizi PlayStation Network e Qriocity di Sony, in cui i dati personali di circa 77 milioni di utenti sono stati compromessi ed in cui è stato impedito l'accesso al servizio per gli utenti delle consoles PlayStation 3 e PlayStation Portable. L'attacco è avvenuto tra il 17 e il 19 aprile 2011, costringendo Sony, il 20 aprile, a spegnere i servizi PlayStation Network. Il 4 maggio, Sony ha confermato che erano state compromesse informazioni riconducibili all'identità personale a ciascuno dei 77 milioni di account. L'interruzione è durata 23 giorni.
Al momento dell'interruzione, con 77 milioni di account PlayStation Network registrati, non è stato solo uno dei più grandi furti di dati, ma anche la più lunga interruzione di PS Network mai vista nella storia. Ha superato l'hacking TJX del 2007 che aveva colpito 45 milioni di clienti. Funzionari governativi in diversi paesi hanno espresso preoccupazione per la violazione e per il ritardo di una settimana da parte di Sony prima di avvisare i suoi utenti.
Sony ha dichiarato il 26 aprile che stava tentando di ripristinare i servizi di rete "entro una settimana". Il 14 maggio, Sony ha rilasciato la versione 3.61 del firmware per PlayStation 3 come patch di sicurezza. Il firmware obbligava gli utenti a cambiare la propria password all'accesso. Al momento del rilascio, i servizi erano ancora offline. Il ripristino a regioni è stato annunciato da Kazuo Hirai in un video di Sony. Una mappa del ripristino regionale e della rete negli Stati Uniti è stata condivisa mentre il servizio stava tornando online.
Cronologia dell'interruzione Il 20 aprile 2011, Sony ha riconosciuto sul PlayStation Blog di essere "al corrente che alcune funzioni dei servizi PlayStation Network" erano inattive. Dopo aver tentato di accedere tramite PlayStation 3, gli utenti ricevevano un messaggio il quale indicava che la rete era "in manutenzione". Il giorno seguente, Sony ha chiesto pazienza ai suoi clienti mentre si indagava sulla causa scatenante dell'interruzione ed ha affermato che potrebbero essere necessarie "una o due giornate intere" per il completo ripristino delle funzionalità del servizio.
La società ha successivamente annunciato che un'"intrusione esterna" aveva impattato i servizi PlayStation Network e Qriocity. Questa intrusione è avvenuta tra il 17 aprile e il 19 aprile. Il 20 aprile Sony ha sospeso completamente i servizi PlayStation Network e Qriocity in tutto il mondo. Sony ha espresso il proprio rammarico per il periodo di inattività ed ha definito il ripristino del sistema "dispendioso in termini di tempo", ma che avrebbe portato ad un'infrastruttura di rete più forte e più misure di sicurezza. Il 25 aprile, il portavoce di Sony Patrick Seybold ha ribadito sul PlayStation Blog che riparare e migliorare la rete "avrebbe richiesto tempi ingenti" e che non avrebbe avuto una data stimata di termine. Tuttavia, il giorno successivo Sony ha affermato che esisteva un "procedimento chiaro per riportare online i sistemi PlayStation Network e Qriocity", con alcuni servizi che avrebbero potuto essere ripristinati entro una settimana. Inoltre, Sony ha riconosciuto la "compromissione di informazioni personali a seguito di un'intrusione illegale nei nostri sistemi".
Il 1 maggio Sony ha annunciato un programma di "bentornato" per gli utenti impattati dall'interruzione. La società ha anche confermato che alcuni servizi PSN e Qriocity sarebbero stati disponibili durante la prima settimana di maggio. L'elenco dei servizi che sarebbero diventati disponibili includeva:
Ripristino delle funzionalità di gioco online per i sistemi PlayStation 3 (PS3) e PSP (PlayStation Portable) Ciò comprende la possibilità di giocare a titoli i quali richiedono la verifica online e giochi scaricati Accesso a Music Unlimited offerto da Qriocity per PS3/PSP agli utenti già iscritti Accesso alla gestione account e reimpostazione della password Possibilità di scaricare film a noleggio non ancora scaduti su PS3, PSP e MediaGo PlayStation Home Lista amici Funzioni di Chat
Il 2 maggio Sony ha emesso un comunicato stampa, affermando che i servizi Sony Online Entertainment (SOE) erano stati portati offline per manutenzione, a causa di attività potenzialmente correlate al primo attacco criminale. Potrebbero essere stati compromessi oltre 12.000 numeri di carte di credito, anche se in forma crittografata, appartenenti a titolari di carte non statunitensi ed ulteriori informazioni su 24,7 milioni di conti SOE.
Durante la settimana, Sony ha inviato una lettera alla Camera dei rappresentanti degli Stati Uniti, rispondendo a domande e preoccupazioni riguardo all'accaduto. In quest'ultima Sony ha annunciato che avrebbe fornito polizze assicurative per furto di identità ammontando ad un importo di 1 milione di dollari per ogni utente dei servizi PlayStation Network e Qriocity, nonostante non fosse segnalata la presenza di alcun furto effettivamente accaduto. Ciò è stato successivamente confermato sul PlayStation Blog, dove è stato annunciato che il servizio AllClear ID Plus offerto da Debix, sarebbe stato disponibile gratuitamente per gli utenti negli Stati Uniti per 12 mesi ed avrebbe incluso la sorveglianza della navigazione Internet, la riparazione totale dell'identità ed una polizza assicurativa di 1 milione di dollari a utente in caso di furto di identità.
Il 6 maggio Sony ha dichiarato di aver iniziato le "ultime fasi dei test interni" per i servizi PlayStation Network, i quali era stati nuovamente costruiti. Ciò nonostante, il giorno successivo Sony ha dichiarato che non sarebbe stata in grado di riportarli online entro il periodo di una settimana precedentemente indicato il 1 maggio, dato che "l'entità dell'attacco ai server di Sony Online Entertainment" non era nota a quel tempo. SOE ha confermato sul proprio account Twitter che i loro giochi non sarebbero stati disponibili per un periodo indefinito durante e dopo il fine settimana.
Reuters cominciò a riferirsi all'evento come "la più grande breccia di sicurezza di sempre". Un rappresentante di Sony ha riferito che:
Sony aveva provveduto alla rimozione di dati personali rubati di 2.500 utenti I dati includevano nomi e alcuni indirizzi, che erano in un database creato nel 2001 Nessuna data era ancora stata fissata per il riavvio
Il 14 maggio diversi servizi hanno iniziato a tornare online in diversi paesi in maniera sfalsata. Questi servizi includevano: accesso ai servizi PSN e Qriocity (inclusa la reimpostazione della password), gioco online su PS3 e PSP, riproduzione di contenuti video a noleggio, servizio Music Unlimited (PS3 e PC), accesso a servizi di terze parti (come Netflix, Hulu, Vudu e MLB.tv), amici online, servizi di chat e PlayStation Home. Questi cambiamenti sono arrivati con un aggiornamento di firmware alla versione 3.61. Il 15 maggio, il servizio in Giappone e nell'Asia orientale non era ancora stato approvato.
Il 18 maggio SOE ha sospeso la pagina Web sul proprio sito per la reimpostazione della password in seguito alla scoperta di un altro exploit che consentiva agli utenti di reimpostare le password altrui, utilizzando l'indirizzo e-mail e la data di nascita delle vittime. Anche l'accesso tramite l'autenticazione PSN a vari altri siti Web Sony è stato disabilitato, mentre quelli alle console non sono stati impattati.
Il 23 maggio Sony ha affermato che i costi dovuti all'interruzione ammontavano a 171 milioni di dollari.
La risposta di Sony
Camera dei rappresentanti degli Stati Uniti Il 4 maggio Sony ha riferito sul PlayStation Blog che:
Sony ha comunicato via lettera che:
Spiegazione dei ritardi Il 26 aprile 2011 Sony ha spiegato sul PlayStation Blog i motivi per cui ci era voluto tanto tempo per informare gli utenti PSN della breccia di dati:
Indagine di Sony Un possibile furto di dati ha spinto Sony a fornire un aggiornamento in merito ad un'indagine penale in un blog pubblicato il 27 aprile: "Stiamo attualmente lavorando su questo fatto con le forze dell'ordine e con una società di sicurezza informatica rinomata per condurre un'indagine esauriente. Questo attacco a scopo dannoso contro il nostro sistema e contro i nostri clienti è un crimine punibile penalmente e stiamo procedendo aggressivamente per identificare i responsabili."
Il 3 maggio Kazuo Hirai, CEO di Sony Computer Entertainment, lo ha ribadito ed ha affermato che "l'intrusione esterna" la quale aveva causato la chiusura del PlayStation Network costituiva un "attacco informatico di natura criminale". Hirai spiegò ulteriori dettagli, affermando che i sistemi Sony erano stati attaccati ancora prima dell'interruzione "durante l'ultimo mese e mezzo", suggerendo un tentativo vero e proprio di prendere di mira Sony.
Il 4 maggio Sony ha annunciato che avrebbe aggiunto Data Forte alla squadra investigativa per l'analisi degli attacchi la quale contava già Guidance Software e Protiviti. Gli aspetti legali del caso sono stati gestiti dallo studio Baker & McKenzie. Sony ha dichiarato di ritenere che Anonymous, un gruppo decentralizzato e non organizzato di hacker e attivisti liberamente congregato possa aver effettuato l'attacco. Nessun membro appartenente al gruppo ha rivendicato alcun coinvolgimento.
Dopo aver appreso che si era verificata una breccia di dati, Sony ha avviato un'indagine interna. La compagnia ha riferito, nella sua lettera al Congresso degli Stati Uniti:
Impossibilità di utilizzare i contenuti di PlayStation 3 Sebbene la maggior parte dei giochi sia rimasta accessibile nelle modalità offline, PlayStation 3 non è stata in grado di riprodurre alcuni titoli di Capcom indipendentemente dalla forma. I fornitori di video in streaming in diverse regioni tra i quali Hulu, Vudu, Netflix e LoveFilm mostravano lo stesso avviso di manutenzione. Alcuni utenti hanno affermato di essere in comunque grado di utilizzare il servizio di streaming di Netflix mentre altri non sono riusciti a fare altrettanto.
Critiche a Sony
Avviso in ritardo di possibile furto di dati
Il 26 aprile, quasi una settimana dopo l'interruzione, Sony ha confermato di "non escludere la possibilità" che informazioni di identità personale come nome utente, password, indirizzo civico ed indirizzo e-mail degli account PlayStation Network fossero stati compromessi. Sony ha anche menzionato la possibilità che i dati della carta di credito siano stati rubati, dopo aver affermato che la crittografia era stata applicata ai database, ovvero che avrebbero parzialmente soddisfatto i requisiti della conformità PCI per la memorizzazione delle informazioni correlate a carte di credito su un server. A seguito dell'annuncio pubblicato sia sul blog ufficiale che inviato via e-mail, agli utenti è stato chiesto di salvaguardare le transazioni con carta di credito controllando i loro estratti conto. Questo avviso è arrivato quasi una settimana dopo l'iniziale "intrusione esterna" e mentre la rete era già stata spenta.
In diversi hanno contestato questa decisione affermando che se Sony ritenesse il problema tanto grave da spegnere la rete di sistemi, avrebbe dovuto avvisare gli utenti di un possibile furto di dati prima del 26 aprile. Sono state inoltre avanzate preoccupazioni per le violazioni della conformità PCI e la mancata notifica immediata agli utenti. Il senatore degli Stati Uniti Richard Blumenthal ha scritto al CEO di Sony Computer Entertainment America Jack Tretton chiedendo chiarimenti riguardo al ritardo.
Sony ha risposto in una lettera alla commissione subordinata:
Dati personali non crittografati