Jefe de Sony se creyó superior a los hackers

Sony Corp., acosada por piratas informáticos desde abril, consideraba a su PlayStation Network un blanco poco probable incluso después de amenazas del colectivo online Anonymous y de tres incidentes de seguridad en 2008.

El grupo de piratería informática declaró en abril que libraría una guerra cibernética contra Sony por tratar de impedir que la gente pudiera desbloquear la PlayStation 3. Tres años antes, la compañía había sufrido tres violaciones de seguridad en Europa, incluida una en la cual Sony dijo que algunos datos de usuarios de PlayStation Network podrían haber sido robados.

 La repetición de los incidentes debería haber advertido a Sony de que su red online era vulnerable, dijo Eugene Spafford, profesor de ciencias de la computación en la Universidad Purdue de West Lafayette, Indiana. El hecho de no tomar medidas de seguridad, como nombrar un solo jefe de seguridad, mostraría que Sony no comprende los riesgos propios de la estrategia de red del presidente y máximo responsable ejecutivo, Howard Stringer, explicó.

 “Las pruebas que hemos visto hasta ahora hablan de la falta de un buen plan de gestión de datos y un buen plan de seguridad”, señaló Spafford, que se especializa en seguridad de la información, investigación de delitos informáticos y ética de la información.   Sony ha tenido dificultades para hacer frente a los ataques que comenzaron a mediados de abril. Los servicios Qriocity y PlayStation Network estuvieron inhabilitados casi un mes, comprometiendo los datos de más de 100 millones de cuentas.

 En la última semana, la compañía con sede en Tokio ha sufrido intrusiones menores: una falla de seguridad en la filial de servicios online So-net Entertainment Corp. afectó los nombres de usuario y las contraseñas de 128 clientes. Esta semana, Sony cerró las páginas web que fueron atacadas en Grecia, Canadá, Tailandia e Indonesia.

 ‘Experiencia nueva’

 “Obviamente nuestra red de seguridad no detuvo el ataque y estamos tratando de entender por qué, y hemos dado grandes pasos para reforzar nuestra seguridad”, dijo Stringer en una entrevista el 17 de mayo, antes de los últimos incidentes.

 Sony creía que tenía “una sólida seguridad”, agregó Stringer. Rechazó las sugerencias de que Sony está pagando su falta de cuidado y dijo no estar al tanto de la intrusión de 2008 en PlayStation Network.   Dado que la mayoría de los usuarios de PSN no pagan y que la mayoría de las amenazas se centran en robar información de tarjetas de crédito, el robo de contraseñas y otros datos personales en estos servicios parecía menos probable, explicó Stringer. 

“Tenemos una red que daba servicios gratuitos”, dijo Stringer. “No parecía el lugar más probable para un ataque.”   Cuando comenzó la intrusión de abril, no sabía la gravedad que tenía, señaló Stringer. “No creo que pueda disculparme por no saberlo”, dijo. “Es una experiencia totalmente nueva para todos en esta escala.” 

‘Faltar a la confianza’ 

La investigación de Sony sobre las causas del ataque de mediados de abril y la búsqueda de sospechosos está en marcha, informó la compañía. El 23 de mayo, Sony dijo haber gastado más de US$170 millones en relación con el acto de piratería. La empresa también dijo haber descubierto que podrían haberse sustraído datos personales de 8.500 cuentas de usuario en un sitio de música de Grecia.

 La compañía se equivocó al “tratar estos incidentes como una violación de sus sistemas” y comunicarse con sus clientes con referencia a la gravedad de la falla, dijo Kevin Kosh, socio de Chen PR de Waltham, Massachussets, que representa a empresas de tecnología.

 “Si una compañía es una organización con contacto directo con los clientes, esa no es la forma correcta de pensar”, explicó Kosh. “Primero y principal, es una falla comercial y también es faltar a la confianza.”   En marzo de 2008, Sony informó a los usuarios europeos que una persona no autorizada podría haber accedido a datos personales en PSN a través de computadoras personales. No hay pruebas de que se hubiesen sustraído datos personales o de tarjetas de crédito, y la falla de seguridad, que no está relacionada con el último ataque, se compuso, declaró la compañía como respuesta a preguntas para esta nota. 

Jefe de seguridad

Las compañías deberían evaluar cuidadosamente qué datos deben alojarse en los servidores abiertos, poner a una persona a cargo de los derechos administrativos y rastrear cómo y cuándo se accede a la red, dijo Yuichi Uzawa, consultor de Tokio encargado de respuesta investigativa en Verizon Business. Sin embargo, algunos hackers pueden encontrar la forma de violar la seguridad, explicó. 

Sony declaró que toma muy seriamente la seguridad de la red y la protección de la información personal. Hay múltiples niveles de protección y la compañía constantemente realiza tareas de detección de actividad no autorizada que incluyen pruebas de vulnerabilidad. 

Aun así, el director de información de Sony era quien supervisaba la red hasta los ataques de abril. En ese momento, se nombró un director de seguridad de la información, que reporta al director de información, para contar con un nivel de seguridad adicional, reveló la compañía.

“Agregar un director de seguridad de la información después de ocurrido el hecho es como contratar a un guardaespaldas después de que a uno lo han herido mortalmente”, dijo Kosh. “Da la impresión de que hay falta de responsabilidad.”