En el anterior post nos habíamos quedado en el fin de semana del 30 de abril, 10 días después de la intrusión. El New York Times publicaba que en foros underground de Internet se intentaba vender la base de datos robada a Sony, mientras el CEO de Sony daba una rueda de prensa pidiendo disculpas -y paciencia- a los usuarios de PSN. Esta semana, se han ido conociendo más detalles sobre el ataque y sus repercusiones.
El martes, 3 de mayo, se hacía pública la existencia de otro ataque, en esta ocasión contra la plataforma Sony Online Entertaintment (SOE), en el que quedaron expuestos datos personales de más de 24 millones de clientes de este servicio de la multinacional nipona.
El 4 de mayo, Kazuo Hirai, CEO de Sony, respondía por escrito a todas las preguntas de la carta enviada desde la Cámara de Representantes del Congreso de los Estados Unidos (aquí el documento original publicado por Sony). Aseguran haber sido víctimas de un ciberataque criminal altamente sofisticado, meticulosamente planeado y muy profesional. Mencionan de nuevo el ataque DDoS que sufrieron hace unas semanas por parte de Anonymous y aseguran haber encontrado un archivo con el texto "We are Legion" (el lema de Anonymous) en el servidor comprometido, aunque la respuesta a la pregunta 7ª es clara:
- (Q) 7. Have you identified the individual(s) responsible for the breach?
- (A) No.
Este mismo día sabemos que Sony ha contratado los servicios de tres importantes compañías de seguridad para trabajar junto al FBI en la investigación, además de contar con los servicios legales de Baker & McKenzie.
En una sesión sobre Robo de Datos del Departamento de Comercio de los Estados Unidos, Gene Spafford, editor de la revista Computers & Security se refirió a que Sony estaba utilizando una versión desactualizada de Apache Web Server, sin parchear, y que hace meses que esto era conocido.
A través de un comunicado de prensa de la ICO - UK Information Commissioner's Office (autoridad de protección de datos del Reino Unido), se informa que este organismo ha solicitado aclaraciones a Sony sobre lo ocurrido, por si pudieran verse afectados datos personales de ciudadanos ingleses.
A fecha de hoy, 5 de mayo -aunque todavía no he podido contrastar la fuente-, parece que la Agencia Española de Protección de Datos va a abrir una investigación para comprobar si se ha vulnerado la Ley Orgánica de Protección de Datos de Carácter Personal.
