Numa tarde de terça-feira do mês passado, engenheiros da Sony Corp. ficaram confusos quando vários servidores da rede PlayStaion da empresa desligaram sem mais nem menos e se religaram automaticamente. Na ocasião, a inesperada reinicialização pareceu ser um defeito estranho. Mas no dia seguinte aqueles engenheiros encontraram a primeira evidência de que um intruso havia invadido os sistemas da Sony, fazendo com que a empresa tivesse que tomar o que chamou de "medida quase sem precedente" de desligar a popular rede de jogos.
Na semana do dia 07/5, o diretor-presidente da Sony, Howard Stringer, emitiu um pedido público de desculpa pelo que a empresa depois descobriu ter sido uma violação de dados que afetou mais de 100 milhões de contas de usuários em três redes públicas, e pela demora da Sony em informar seus usuários sobre isso. A empresa disse que os danos incluiam nomes de usuários, datas de nascimentos e senhas -- ela não descartava ainda o roubo de números de cartões de crédito associados com sua rede PlayStaion.
A rede PlayStation usa 130 servidores e 50 programas e possui 77 milhões de contas de usuários, de acordo com uma carta que a alta direção da Sony enviou a uma comissão do Congresso americano. Os problemas da Sony começaram em janeiro, depois que ela processou um gênio de programação chamado George Hotz por ele ter feito um programa que permitia aos jogadores reconfigurar o popular console do PlayStation 3 da companhia. Esse processo deixou furiosa uma comunidade informal de hackers que se autodenomina "Anônima" (Anonymous), que no começo de abril fez um ataque velado à Sony. O PlayStation da empresa começou a sofrer interrupções intermitentes, que a Sony depois associou a um ataque do tipo "negação de serviço" (denial-of-service), uma manobra que tenta sobrecarregar os servidores de um alvo com uma avalanche de dados. Embora a Anônima tenha negado o furto de dados, executivos da Sony acreditam que uma ou mais pessoas ligadas ao grupo tenham sido responsáveis por isso.
Em 19 de abril, segundo informações da Sony, engenheiros da empresa notaram que havia servidores que estavam reinicializando sem estarem programados para isso. Eles começaram a passar um pente fino nos registros gerados pelas máquinas para tentar localizar o problema, e concluiram que "uma atividade atípica e não planejada estava ocorrendo na rede", e retiraram de operação quatro servidores. No dia seguinte (20/4) a empresa mobilizou uma equipe maior para analisar as quatro máquinas, o que mais tarde evidenciou que seis outras máquinas estavam comprometidas. Naquela tarde uma equipe da Sony descobriu evidências de que havia ocorrido uma invasão, e que dados de alguma natureza haviam sido retirados dos servidores do PlayStation sem autorização. Incapaz de determinar qual o tipo dos dados perdidos, essa equipe decidiu tirar do ar toda a rede.
Na noite do dia 20/4 a Sony contratou uma empresa de consultoria de segurança e começou um trabalho de dois dias de copiar os conteúdos dos servidores para analisá-los. Mais tarde ela contratou mais duas outras empresas, ampliando a equipe para a realização de um trabalho meticuloso. O FBI foi informado da invasão no dia 22/4, com uma reunião programada cinco dias depois para o fornecimento de mais detalhes. Na noite do dia 23/4, a empresa e seus consultores puderam confirmar que invasores tinham utilizado "técnicas muito sofisticadas e agressivas" para conseguir acesso não autorizado a seus servidores. Esses invasores se ocultaram dos gestores da rede, obtiveram privilégios para acessar áreas restritas dos sistemas da Sony e deleteram registros para ocultar suas atividades. No dia seguinte, a Sony informou aos seus clientes que seus dados pessoais haviam sido roubados, instando-os a mudar suas senhas e a checar seus cartões de crédito contra operações fraudulentas. Para os clientes americanos, ela ofereceu mais tarde como compensação tempo livre na rede e serviços de monitoramento contra roubo de (dados de) identidade.
Alguns analistas acreditam que tudo isso acarretará à Sony um custo de mais de 1 bilhão de dólares com um novo sistema de segurança, e uma apólice de 1 milhão de dólares para as vítimas de roubo de dados de identidade -- a Sony não forneceu sua própria estimativa desses custos.
O artigo do Wall Street Journal fornece ainda mais informações sobre o assunto.
Nenhum comentário:
Postar um comentário