Sony: tutta colpa di Anonymous

Sony ha rifiutato di comparire all’audizione al Congresso cui era stata invitata per discutere dell’attacco informatico subito che ha messo a rischio i dati personali e finanziari di milioni di utenti del suo PlayStation Network (PSN). La giapponese, d’altronde, ha individuato il vero nemico: Anonymous.

Sony ha deciso di rispondere solo con una lettera alla richiesta di chiarimenti dei rappresentanti statunitensi: in essa si definisce “la vittima” di un “attacco informatico largamente pianificato, frutto di competenze criminali e professioni altamente qualificate” e indirizzato a rubare i dati personali per scopi illegali.

Oltre all’attacco vero e proprio, infatti, l’azienda avrebbe subito un DDoS che avrebbe svolto il ruolo di specchietto per le allodole in grado di tener impegnato tutto il suo team di sicurezza, mentre altri cracker si infiltravano nel sistema e provvedevano alle operazioni di estrazione dei dati.

Dietro questa orchestrata azione, d’altronde, non vi sarebbero gli ultimi arrivati, ma un gruppo già assorto agli onori della cronaca come Anonymous: un file con la funzione di “biglietto da visita digitale” sarebbe stato lasciato sul luogo informatico del delitto. Su di esso il motto del gruppo di hacktivisti: “We Are Legion”. Anonymous aveva peraltro già minacciato proteste contro l’azienda giapponese in seguito alle sue azioni contro l’hacker GeoHot, portato in tribunale per il jailbreak di PS3 conseguente alla cancellazione dell’opzione per installare SO diversi da quello originale sulla console.

Questo, e il documento con il motto, sarebbero per Sony una prova sufficiente del coinvolgimento del gruppo: ammette peraltro che il DDoS e l’attacco vero e proprio potrebbero aver coinciso tempisticamente senza che per forza il gruppo di hacktivisti abbia partecipato anche al furto di dati. Insomma o cospiratori o loro stessi sfruttati, sarebbero per Sony in ogni caso complici.

Anonymous però, a differenza delle altre occasioni in cui ha agito , questa volta non ha rivendicato alcunché, ma anzi con diversi canali e da ultimo con un comunicato ufficiale afferma la sua estraneità ai fatti.

Tuttavia la situazione di Sony sembra solo destinata a peggiorare: si allarga, per esempio, la finestra di tempo fra la scoperta dell’attacco (il 20 aprile) e l’allarme lanciato (il 26). Tanto che, secondo alcuni osservatori , sarebbero passati 6 giorni tra l’una e l’altro: tempo in cui di fatto i dati erano alla più completa mercé dei malintenzionati. Oltretutto il 22 Sony aveva provveduto a tranquillizzare gli utenti affermando che non mancava nulla.

Il fatto di non aver presieduto alla convocazione congressuale, poi, ha certamente contribuito a gettare ombre sull’azienda e a infuriare il Congresso , che la ritiene un’assenza ingiustificata: “Sony ha detto di essere troppo impegnata con le sue analisi – ha detto il presidente del sottocomitato responsabile della riunione Mary Bono Mack – ma cosa dire dei milioni di consumatori che sono come canne al vento a causa di questi attacchi? Loro hanno diritto di una risposta diretta e io sono determinata a dargliene una…”

A chiedere informazioni è anche il procuratore generale di New York Eric Schneiderman, che ha depositato un subpoena con cui chiede a Sony le misure adottate a tutela della sicurezza dei dati degli utenti.

Intanto si scatena la guerra degli esperti intorno alla supposta mancanza di difese all’altezza da parte di Sony: secondo il professor Gene Spafford il sistema giapponese era debole e PSN girava su server Apache “privi di delle patch necessarie e senza firewall installati”, tutte vulnerabilità da tempo conosciute e dibattute in forum frequentati anche da impiegati Sony.

Claudio Tamburrino