Le PSN Piraté !

«Sans trop prendre le temps de prévenir les utilisateurs, Sony a coupé le Playstation Network d'un bout à l'autre du monde aujourd'hui avant d'indiquer, via Twitter notamment, que le service est actuellement en maintenance et donc indisponible. La fin des opérations, quelles qu'elles soient, n'est pas indiquée.»

Voilà ce que nous avions à dire en cet innocent matin au cours duquel nous avons comme tout le monde eu la surprise de découvrir la mise hors service du Playstation Network. Dans la nuit du 19 au 20 avril, Sony surprend les utilisateurs du PSN d'un bout à l'autre de la planète en coupant l'accès à ses serveurs. A ce moment, personne ne se doute que la société est en train de connaître une des plus grosses affaires de vol de données personnelles de la petite histoire du monde numérique. Que s'est-il passé ? Pourquoi Sony a-t-il si mal géré la communication avec les utilisateurs ? Qui sont les vrais responsables au final ? Et surtout, quels sont les risques d'un vol de données personnelles ?


C'est en avril que les problèmes commencent. Mais pour les pirates, le jeu a débuté bien plus tôt. Le fichier journal d'un chat montre que des hackers avaient déjà repéré les failles de sécurité des réseaux de Sony, découvrant qu'il leur était possible d'accéder à la structure du réseau et aux données personnelles. On peut lire que les machines de Sony utilisent une version non mise à jour de l'application Web Apache sur un serveur Linux dont les vulnérabilités sont connues et reconnues. Cette phrase, tirée du chat, en est devenue emblématique :

«Vous savez, suivre cette conversation me fait me demander si c'est une bonne idée d'avoir acheté deux jeux sur le PSN avec une carte Visa.»

On ignore avec certitude si cette conversation est réelle, et les dernières avancées sur l'affaire indiqueraient que les serveurs Apache étaient à jour. Pourtant, on apprendra plus tard et officiellement que Sony lui-même avait connaissance des failles de son système. Par ailleurs, des membres du réseau Anonymous ont depuis confirmé que lors d'un échange, certains hackers faisaient état de leur connaissance d'une faille cruciale.


D'abord qui sont les Anonymous ? Pour résumer, un groupe de hackers activistes qui s'est retrouvé mêlé au "PSN Gate" sans que l'on puisse affirmer qu'ils en soient responsables. Mais ce n'est pas par hasard qu'ils ont été pointés du doigt par Sony ou certains utilisateurs. Au début du mois d'avril, Anonymous a effectivement attaqué Sony en utilisant la bonne vieille méthode du Déni de Service qui consiste à submerger un site Web de requêtes jusqu'à ce qu'il s'effondre. Une attaque menée pour protester contre la façon dont Sony s'en est pris au pirate GeoHot, l'auteur du crack de la PS3 qui permet entre autres choses de faire tourner des logiciels maison sur la console. Anonymous défend alors deux choses : la liberté d'utiliser comme on l'entend un bien que l'on a acheté et le respect des droits de l'utilisateur consommateur. En outre, le groupe n'apprécie guère certaines actions de Sony contre le Jailbreak, essentiellement le fait que le constructeur ait réclamé à Twitter et Google les adresses IP des internautes ayant téléchargé le hack de la console, ou même simplement lu ou commenté à son sujet chez GeoHot.

La fameuse OpSony ne va toutefois pas durer, Anonymous déclarant au final que l'opération pénalise trop les utilisateurs eux-mêmes et qu'ils n'ont aucune envie de se les mettre à dos. Malgré tout, 10 jours plus tard, ils apparaissent comme les coupables idéaux.


C'est le samedi 16 avril que l'intrusion a lieu, mais pas sur le PSN. Ce sont d'abord les serveurs de Sony Online, en charge des MMORPG de Sony, qui sont la cible des hackers. Les pirates repartent avec les données personnelles (noms, adresses, mots de passe, téléphones etc.) de presque 25 millions de comptes utilisateurs. Egalement dans leur poche, les informations de virements bancaires de 10.700 utilisateurs situés en Autriche, Hollande et en Espagne. Au cours de cette attaque, une base de données contenant plus de 12.000 numéros de cartes bleues est également dérobée, mais son âge (2007) limite les risques. A cette heure, Sony ne détecte aucune intrusion, l'explication officielle donnée plus tard par les responsables sera que les attaques par Déni de Service rendaient la détection difficile.


Cette fois, c'est le Playstation Network et le service de streaming Qriocity qui sont ciblés. Là encore, les données personnelles, allant du numéro de téléphone aux réponses aux questions secrètes en passant par les noms et adresses s'envolent. On apprendra ensuite que ces données n'étaient pas cryptées et stockées en clair derrière des pare-feu. Les numéros de cartes bleues subissent évidemment le même sort, numéros de cartes, numéros de sécurité et dates d'expiration étaient en revanche cryptés. Le nombre de numéros de cartes potentiellement concernés est de 10 millions au total.


Il faudra trois jours à Sony pour repérer l'intrusion. Difficile de passer à côté ceci dit : comme un seul homme, les 130 serveurs du réseau rebootent tous de façon inopinée. La décision est prise de couper le réseau puis de relancer en interne chaque serveur afin que les ingénieurs de Sony puissent trouver l'origine de la panne. Bien que soupçonnant un vol de données, Sony n'en cerne pas encore l'étendue.


Et voilà quand les choses démarrent pour le public. Dans la nuit du 19 au 20 avril, on voit apparaître les premiers messages sur les forums, blogs, comptes Twitter et autres : le Playstation Network ne fonctionne pas. Ce n'est pas une première, seulement cette fois, on constate que la coupure est généralisée aux trois territoires, du Japon à l'Europe en passant par l'Amérique. Et aucun message ne mentionne une maintenance sur les blogs officiels Playstation, alors qu'elles sont habituellement annoncées à l'avance. Sony finira par poster sur ses blogs qu'une opération de maintenance est en cours, sans faire aucune mention de la faille et de l'accès potentiel aux données utilisateurs. C'est probablement la plus grosse erreur qu'il commet, adoptant une communication lacunaire dans laquelle il va s'enfoncer. Sony ayant par la suite reconnu avoir de gros doutes à ce moment précis concernant le vol d'informations, on comprend mieux pourquoi il est montré du doigt. Au moindre soupçon, toute société serait tenue de prévenir les détenteurs de comptes pour les enjoindre à la prudence, à changer leurs mots de passe sur d'autres services ou à surveiller leurs comptes bancaires.


La communication de Sony se veut positive mais surtout dramatiquement peu informative. Le 21 avril, Patrick Seybold, directeur de la communication, informe les utilisateurs que Sony "est conscient de l'arrêt de certains services" et qu'il faudra "sans doute un jour complet avant leur rétablissement". Le lendemain, le ton change, un peu, Seybold remonte sur scène et explique qu'une intrusion non autorisée a affecté le PSN et que le service a donc été coupé par sécurité et afin de procéder à une enquête. Toujours pas un mot sur le vol de données. Ce silence officiel va perdurer jusqu'au 26 avril.


Il aura donc fallu 6 jours à Sony pour déclarer publiquement l'ampleur du problème. Une partie en tout cas, puisque la firme mettra encore une semaine à prévenir les clients de Sony Online. Durant toute cette période, aucun dirigeant de Sony n'a pris la parole jusqu'à ce qu'une conférence de presse soit tenue à Tokyo. Destinée à présenter les nouvelles tablettes de Sony, la conférence s'achève par le départ précipité de Kaz Hirai (photo), PDG de la branche Computer Entertainment de Sony, qui quitte les lieux sans prendre part à la séance de questions/réponses qui était prévue. Et donc sans aborder la question en public. Quelques heures plus tard, un communiqué est publié. La société commence alors à prévenir les détenteurs des 77 millions de comptes, incitant à la prudence. Les critiques fusent sur les délais et des comptes sont demandés à Sony qui est prié d'expliquer son silence.

Dans les jours qui suivent, on apprend que le FBI enquête aux côtés de Sony pour retrouver les auteurs du hack. Mais Sony lui aussi est sur la sellette. Un peu partout dans le monde, des organismes divers déclarent qu'ils comptent prendre contact avec les dirigeants de la firme pour en savoir plus sur les conditions de l'attaque, les mesures de protection de Sony et surtout apprendre précisément pourquoi le constructeur a tardé à prévenir ses clients. Il faut dire que la justification du géant ne suffit à personne, ce dernier se cantonnant à expliquer qu'il avait besoin d'en savoir plus et de mener une enquête interne. Or, une alerte aurait dû être publiée au moment de la coupure du réseau. En outre, Sony admet lui-même que les cabinets d'expertise ont confirmé le vol de données, déjà fortement soupçonné, le 23 avril, soit 3 jours avant que le constructeur communique sur le sujet.


Le dimanche 1er mai, Sony organise ce qu'il est difficile d'appeler une "conférence d'urgence" à Tokyo. Kar Hirai la dirige. La société y présente ses excuses et explique en détail comment l'intrusion s'est produite. On vous épargne les considérations techniques avec schémas compliqués pour se concentrer sur un second nuage qui va assombrir le ciel de Sony. Le constructeur va en effet reconnaître au cours de cette conférence qu'il avait connaissance des failles exploitées par les pirates et qu'il a manqué de vigilance pour les combler.

Ultérieurement, un comité du congrès américain demande des comptes à Sony. Au cours de cette audience, le constructeur accuse le groupe Anonymous, exhibant ce qu'il considère comme une preuve, un fichier texte nommé Anonymous et contenant la phrase "nous sommes légion", le slogan du groupe. Anonymous démentira aussitôt, il est vrai que le groupe s'est toujours posé comme un défenseur des consommateurs et que ce genre de vol n'est pas vraiment dans leur ADN. Voici d'ailleurs leur démenti :

«La personne responsable du vol de cartes de crédit est allée à l'encontre du modus operandi et des intentions d'Anonymous. Le support du public ne se gagne pas en volant des cartes bancaires et des informations personnelles. Nous essayons de combattre les activités criminelles menées par certaines sociétés ou gouvernements, pas de voler des numéros de cartes. Si une enquête honnête et légitime est menée sur l'affaire des cartes bancaires, Anonymous sera innocenté. Bien que notre groupe soit éparpillé et décentralisé, nos "responsables" ne pardonnent pas le vol de cartes de crédit.»


Le 2 mai est un nouveau coup dur pour Sony qui vient tout juste de découvrir l'attaque menée le 16 avril contre les serveurs de Sony Online. C'est même un double coup dur car la firme avait garanti au début de l'affaire que ce réseau n'avait pas été compromis. Or, comme nous l'avons expliqué plus haut, ce sont ici 24,6 millions de comptes qui sont touchés. Le total des comptes compromis dépasse le nombre record des 100 millions.


Le jour où la date du retour complet des services du PSN est fixée au 31 mai par Sony, un représentant de Sony France accorde un entretien au Journal du Dimanche, clarifiant la situation dans l'Hexagone : 4,7 millions de comptes PSN français sont concernés par le vol de données, accompagnés par 1.000 clients de Sony Online. Un total de 1 million d'utilisateurs français sont encouragés à surveiller l'activité de leur compte bancaire.


La question de la gestion des données personnelles est un sujet particulièrement sensible. En théorie, une société à qui l'utilisateur fait confiance en lui remettant des informations se doit d'en assurer la sécurité et de faire de ses data center de véritables forteresses. Or, on a découvert avec ce "PSN Gate" que Sony avait commis quantité d'erreurs en avouant ne pas avoir comblé une vulnérabilité dont ils avaient connaissance, puis en mettant plus d'une semaine avant d'alerter ses clients des risques courus. Il serait cependant facile de voir en Sony un vilain petit canard au milieu d'une troupe de sociétés plus consciencieuses. Nombre d'experts en sécurité ont pu à cette occasion répéter les mises en garde qu'ils lancent depuis longtemps : trop de grands groupes négligent la sécurité au profit du marketing ou de la productivité. Sony s'est fait prendre la main dans le sac, mais il n'est pas le seul à refuser de couper l'accès à ses services pour des opérations de maintenance lourdes, préférant appliquer quelques petits patches à droite à gauche pour corriger les problèmes "à chaud". Ca n'excuse certainement pas Sony, mais sachez qu'il n'est pas le seul à jouer avec le feu, par abus de confiance ou par négligence. Sa plus grande faute reste de ne pas avoir averti les utilisateurs au moment précis où le doute s'est installé.


Pour l'heure on l'ignore. Pour Sony, c'est Anonymous, ce à quoi le groupe de hackers a déjà répondu, rappelant comme on l'a dit plus haut que le vol de données personnelles ne fait pas partie de leur arsenal et qu'il est contraire à leurs principes. Il n'empêche qu'il est possible qu'une frange extrémiste puisse avoir fait preuve de moins de morale. Deux anciens membres de l'entité estiment d'ailleurs qu'il est fort probable que ce soit le cas. C'est en tout cas ce qu'ils ont confié au Financial Times, confirmant que des membres connaissaient la faille et l'ont exposée sur les forums très fermés d'Anonymous.

Une autre possibilité, avancée par quelques spécialistes de la sécurité et de la cybercriminalité, pointe vers une attaque interne. Statistiquement, c'est souvent le cas, d'autant que d'anciens employés connaissent sur le bout des doigts les réseaux visés. Bien qu'il n'y ait strictement aucune preuve, le fait est que Sony a licencié plus de 200 employés de Sony Online Entertainment 4 jours avant le piratage et fermé des bureaux dans les villes de Tucson, Denver et Seattle.

Il faudra sans doute du temps avant que l'identité des pirates ne soit découverte. Et tout dépendra en grande partie de leur comportement dans les semaines ou mois à venir. C'est l'une des raisons pour lesquelles il est peu probable que de grandes fraudes bancaires soient commises directement à partir des données perdues : elles seraient trop faciles à repérer et pointeraient vers les responsables.


Les conséquences sont pour l'heure difficiles à établir mais une chose est certaine : l'affaire coûtera cher à Sony, mais pas seulement. Les développeurs indépendants qui publient des jeux sur le PSN s'inquiètent fortement car chaque jour qui passe est pour eux un manque à gagner. A moins de 10 jours de coupure, de petits développeurs parlaient déjà de milliers d'euros de pertes. C'est conséquent pour une petite structure. Si les gros éditeurs peuvent s'en remettre, pour les petites structures, c'est un coup dur. Et Sony devra sans doute concéder quelques "gestes" pour leur filer un coup de main, comme une réduction des droits de développement et des royalties.

Mais pour Sony, les frais seront multiples. La société risque par exemple des amendes imposées par divers organismes officiels à travers le monde. En France, la CNIL (Commission Nationale de l'Informatique et des Libertés) mène son enquête. En Angleterre, son équivalent pose également des questions. Aux Etats-Unis, des sénateurs et un comité du Congrès étudient le dossier, de même en Australie.

Les procès n'ont également pas tardé et deux class actions, des poursuites auxquelles peuvent se joindre toutes les personnes qui s'estiment lésées, sont déjà lancées aux USA et au Canada. Enfin, la restructuration du réseau, le coût de l'enquête pour laquelle Sony a fait appel à trois cabinets d'experts, la compensation offerte aux joueurs et surtout l'assurance que le groupe a souscrite pour ses utilisateurs (américains uniquement pour l'instant) représentent des sommes non négligeables. Sans parler des jeux offerts qu'il va bien falloir que quelqu'un paie. A cela s'ajoutent encore le remboursement éventuel des frais engagés par les utilisateurs, ceux d'opposition à leur carte bancaire, notamment.

Et le dernier point de friction sera pour l'image du groupe. Aussi bien pour le public que pour ses actionnaires qui ont déjà fait part de leur mécontentement et réclamé la tête des deux leaders de Sony, Howard Stringer son PDG (en photo) et Kaz Hirai, directeur de Sony Computer dont dépend le PSN. En outre, la question se pose : Les utilisateurs feront-ils de nouveau confiance à Sony ? Sans prendre la défense de qui que ce soit, on serait tenté de répondre que finalement, ils ne méritent ni moins, ni plus de confiance que la plupart des autres sociétés détentrices de ce genre de base de données. Ce n'est pas tant le piratage qui leur porte un coup que leur communication tardive. Une erreur que la firme compense en mettant en place un plan de protection des utilisateurs pour le moins ambitieux. On aurait préféré que Sony, et tous les autres, fassent preuve de plus de prudence.

Moi je m'en fiche j'ai une XBOX360 mais je HAIS les hackers, un de mes amis à dit que c'étais des Turcs xD (Désolé si tu as dit que s'en étaient j'ai pas put tout lire mais avec le nom anonymous je ne pense pas que ce soit eux). Il a fait tout un discours (parcequ'il est Turc), les turc ils sont balèze en informatique, en plus ils étaient jeune genre 18 ans, et puis ils ont dit que c'étais eux. Il m'a raconté des malabars :: . Sinon sa doit embêté pas mal de personne ce pirattage, avec toujours le même message quand tu essaye de joué en ligne.

Ça craint ! Les pirates informatique sont de plus en plus fort !

Mon père il pète les plombs , il veut jouer à CoD : Black Ops Mode Multi , il est super fort , il est au niveau prestige 10 ou 11 !

Woahw...

Edge est allé faire un tour chez les revendeurs britanniques et y a découvert que les joueurs accros au jeu en ligne commencent à perdre patience depuis la coupure des services du Playstation Network. Depuis la suspension du jeu en ligne, le nombre de PS3 revendues d'occasion a explosé de l'autre côté de la Manche. Dans certaines boutiques, à seulement la moitié du mois de mai, certains revendeurs parlent d'une hausse de 200% par rapport au mois de mars complet. Et si une partie des joueurs repart avec du cash dans les poches, une fraction de plus en plus importante rentre avec une Xbox 360. Et devinez pourquoi ? Pour pouvoir reprendre leurs parties en ligne. Les revendeurs précisent d'ailleurs que l'essentiel de ces échanges est effectué par de gros joueurs qui ont bien du mal à se passer de Call of Duty Black Ops ou Modern Warfare 2.

D'ailleurs, tout comme pour les consoles, depuis 2 semaines, le nombre de versions PS3 de ces deux titres échangées contre des versions Xbox 360 a également augmenté. Quant aux précommandes, elles sont affectées du côté des joueurs possédant les deux machines. Un nombre croissant de réservations faites sur PS3 seraient annulées au profit des déclinaisons Xbox 360.

(j'avou que j'avais la flème de lire tout l'article :P)
Les Anonymous qui ont pirater (ce sont pas vraiment des hacker quand on sais quels logiciels ils utilisent...) aussi Paypal, allopass, ... je n'ai pas de PS3 mais un copain en a une, et d'après lui, il vont rétablir la situation que à la fin du mois de mai...

ça sera à suivre

Bloomberg vient de publier un article dans lequel le très sérieux journal rapporte les propos qu'une source anonyme lui a tenu sur l'origine du piratage du PSN, un hack qui reste toujours bien mystérieux. Selon cette source, qui tient à rester discrète en raison de la nature confidentielle des info, c'est par le biais d'un serveur appartenant à Amazon que les hackers auraient lancé leur attaque. Le détail qu'il faut connaître, c'est qu'Amazon, comme d'autres grandes enseignes du web disposant d'un gigantesque parc, loue une partie de sa puissance de calcul à des tiers afin de rentabiliser ses serveurs, les sociétés s'offrant ce service de Cloud Computing pouvant alors employer cette ressource pour faire tourner leur applications webs. L'hypothèse avancée est donc que les hackers auraient utilisé, le plus légalement du monde, le service nommé Amazon Elastic Compute Cloud pour lancer l'attaque contre le data center de Sony à San Diego depuis un serveur Amazon. Une pratique qui leur permet de brouiller les pistes et de profiter d'une base solide.

de mieux en mieux

De façon légal xD

En tout cas ca leur fait une mauvaise publicité à Amazon




Le géant japonais, qui a désormais terminé de renforcer la sécurité de son service, annonce que la remise en marche se fait dès aujourd'hui ! Ainsi, les joueurs américains peuvent à nouveau jouer en ligne depuis quelques heures et c'est désormais au tour de l'Europe de voir réactiver son réseau ! Tous les pays d'Europe seront progressivement reconnectés.

C'est en tout cas un grand soulagement pour tous les joueurs PS3 et PSP qui vont pouvoir à nouveau goûter au plaisir du jeu en ligne d'ici quelques heures. Attention, car comme l'avait précisé Sony, la remise en marche des différents services sera progressive et l'ensemble des fonctionnalités du PSN et de Qriocity ne sera effectivement accessible que dans quelques jours. Mais quoi qu'il en soit, le jeu en ligne est le premier à être remis en marche et ça, c'est quand même une très bonne nouvelle. Attention, veuillez noter que pour vous connecter, vous devrez au préalable télécharger la nouvelle mise à jour 3.61 de la PS3 et changer votre mot de passe (opération imposée par Sony dès que le réseau sera actif dans votre pays).

Nous voyons enfin le bout du tunnel de ce qui restera (on l'espère), la plus longue interruption qu'ait connu un service de jeu en ligne aussi important.

à la mémoire de Monsieur Raymond Barre

????????????????????????????


Alors que les joueurs américains et européens renouent avec les joies du jeu en ligne sur PS3, leurs copains japonais sont eux toujours dans les choux. Le Ministère Japonais de l'Economie, des Finances et de l'Industrie interdit la remise en ligne du service tant que Sony ne lui aura pas communiqué l'ensemble des nouvelles mesures prises pour garantir la sécurité des utilisateurs. Si le ministère admet que Sony en a dévoilé une partie lors de sa conférence d'urgence le 1er mai, il précise toutefois que la firme a refusé d'en fournir tous les détails.

"voir le bout du tunnel" était l'expression favorite de Raymond Barre

pauvres japonais

Dans le cadre de son programme "Welcome Back", Sony avait annoncé que les utilisateurs du Playstation Network se verraient offrir deux jeux PSN gratuits à choisir dans une liste. La liste en question est à présent connue et nous vous la fournissons ci-dessous. Les jeux seront à récupérer dans un délai de 30 jours après la remise en fonction du PS Store, vous pourrez évidemment les conserver indéfiniment ensuite. En outre, chaque utilisateur du PSN profitera d'un mois d'abonnement gratuit au PSN Plus qui propose des contenus exclusifs. Ceux qui sont déjà membres de cette section payante du réseau se verront offrir 60 jours de souscription supplémentaires. Enfin, les abonnés sur service Music Unlimited auront eux aussi droit à 30 jours gratuits. Notez que les offres américaines et européennes diffèrent quelque peu. Sony précise par ailleurs être au travail pour fournir aux utilisateurs européens de Home du contenu gratuit, ce qui sera le cas aux Etats-Unis.