Después de 11 días de haber suspendido temporalmente los servicios de la Playstation Network y Qriocity, tres altos ejecutivos de Sony dieron una conferencia de prensa aclarando varios puntos referidos a la intrusión que sufrieron en el sistema durante los días 19 y 20 de abril, con la consecuencia del robo de datos personales y de información de las tarjetas de crédito adheridas a ambas plataformas.

A continuación les escribo una lista de los temas principales que se tocaron en la conferencia:

• Restauración de los servicios: algunas partes de la Playstation Network y Qriocity van a comenzar a funcionar dentro de la próxima semana, aunque la totalidad de la funcionalidad será restaurada a lo largo de todo el mes.
• Compensación: a todos los miembros de la Playstation Network se les darán 30 días gratuitos de suscripción a Playstation+. En cuanto a Qriocity, a los suscriptores se les ofrecerá por 30 días gratuitamente el servicio. Con respecto a los usuarios que quieran abandonar alguno de estos servicios a causa de los problemas, Sony declaró no tener preparada ninguna estructura de reembolso o gratificación, pero que estarán trabajando para encontrar alguna forma de compensación para esos casos.
• Datos comprometidos: las contraseñas de los usuarios no se encontraban encriptadas sino hasheadas, la información personal se encontraba desprotejida y los datos de las tarjetas de crédito encriptados. Si bien Sony aclara que no tienen razones para creer que los datos de las tarjetas de crédito hayan sido obtenidos, sugiere que quienes hayan cargado dicha información en la PSN, se comuniquen con su banco proveedor de la tarjeta para tomar la mayor cantidad de recaudos posibles. También Sony recomienda controlar los gastos de la tarjeta para detectar algún tipo de actividad sospechosa. Hasta ahora no fueron notificados de ningún caso de fraude.
• Medidas tomadas: a raíz del ataque han decidido rediseñar la red para hacerla más segura (no dieron detalles de cómo), se mudó el datacenter que se encontraba en San Diego a otro lugar con mayores medidas de seguridad y contratarán un encargado de seguridad de la información para poder prevenir y solucionar de mejor forma estos problemas en el futuro.

Más allá de cuándo se reestablecerá el servicio, de qué forma y cómo se compensará a los usuarios, creo que es importante tener en cuenta un par de cosas más:

Primero, la forma en que se manejó Sony para brindar desde el blog de la Playstation Network información a los usuarios no fue la mejor, y las quejas de estos últimos no dejaron de hacerse escuchar por todo internet. Sony demoró dos días en suspender el servicio y advertir que había problemas en la red y podría tratarse de una intrusión. Luego otros dos días para informar que fue una posible intrusión externa, no descartando que se tratara de un ataque perpetrado por parte del grupo hacktivista Anonymous. A los dos días se confirmó que se había tratado de un acceso intrusivo a la base de datos y con posible robo de información personal y de las tarjetas de crédito asociadas.

En los posteriores días se dieron a conocer algunos detalles más con información para que los usuarios lleven a cabo medidas preventivas, controles y se asesoren correctamente en caso de fraudes. Por tanto, durante una semana se mantuvo la incertidumbre y no se divulgaron detalles críticos del problema, de los que seguramente ya habían tomado conocimiento con anterioridad pero por lo visto no tenían preparado cómo comunicarlo a los usuarios.

En segundo lugar, se abre la interrogante de cómo se organizarán en otras grandes empresas que también posean una base de datos de información tan sensible como lo son los datos personales (nombre completo, dirección, teléfono) y más aún números, fechas de vencimiento y dirección de envío de resumen de tarjetas de crédito; y qué tanto están preparados ante una eventualidad como esta, si está toda la información encriptada como debería ser, si está definido cómo compensar a los usuarios de los servicios involucrados en un posible ataque, una solución para una restauración lo más inmediata posible de los mismos y principalmente contar con un experto encargado de la seguridad de la información.

Para cerrar este artículo los dejo con una interrogante ¿qué otras empresas se les ocurre que manejen este tipo de información sensible y habría que tener en la mira?