Sony Pictures hack 2014: cómo Corea del Norte invadió Hollywood

24 de noviembre de 2014. Los empleados de Sony Pictures llegaron al trabajo y encontraron en las pantallas una imagen de un esqueleto rojo con la inscripción: Hacked by #GOP. Las unidades de red estaban inaccesibles. Los correos, bloqueados. Los archivos internos, corrompidos o borrados. En cuestión de horas, uno de los mayores estudios de cine del mundo funcionaba a papel y lápiz.

No era ransomware pidiendo dinero. Era destrucción deliberada — y detrás había un país entero.

¿Quiénes fueron los "Guardianes de la Paz"?

El grupo se autodenominó Guardians of Peace (GOP). Durante las semanas siguientes, el FBI condujo una investigación técnica comparando el malware utilizado en el ataque con muestras ya conocidas de campañas anteriores. La conclusión, anunciada el 19 de diciembre de 2014 — apenas 25 días después del incidente —, fue inequívoca: los responsables eran agentes del gobierno de Corea del Norte.

Más tarde, investigadores de Kaspersky Lab, Novetta, Symantec y AlienVault Labs, en una investigación conjunta llamada Operation Blockbuster, confirmaron y detallaron la atribución. El grupo detrás del hack era el Lazarus Group, célula de ciberespionaje y sabotaje del régimen norcoreano activa desde al menos 2009 — el mismo grupo responsable de los ataques DDoS del 4 de julio de 2009 contra sitios gubernamentales de EE. UU. y Corea del Sur.

Cómo ocurrió el ataque

El vector inicial fue spear phishing: correos cuidadosamente elaborados enviados a empleados específicos de Sony, con adjuntos o enlaces maliciosos. Una vez que la máquina de un empleado quedó comprometida, los atacantes se movieron lateralmente por la red corporativa durante semanas — mapeando estructuras internas, identificando servidores críticos y exfiltrando datos — antes de activar la fase destructiva.

¿Qué es un wiper malware?

Un wiper malware es un tipo de código malicioso diseñado para destruir datos de forma permanente, sin posibilidad de recuperación. A diferencia del ransomware, que cifra archivos a la espera de un rescate, el wiper simplemente borra o sobrescribe datos. En el ataque a Sony, los hackers utilizaron Destover, un wiper que sobrescribía el Master Boot Record (MBR) de las máquinas Windows, dejándolas incapaces de arrancar — y llevándose consigo los datos almacenados.

Destover compartía componentes de código con Shamoon, un wiper usado en 2012 contra Saudi Aramco que destruyó más de 30.000 computadoras. La semejanza técnica fue una de las evidencias que apuntaron a Corea del Norte, cuyo aparato de hackers ya había demostrado capacidad para desarrollar herramientas destructivas de ese nivel.

Qué se robó — y qué se destruyó

Antes de activar Destover, el Lazarus Group exfiltró terabytes de datos confidenciales de Sony Pictures. El contenido filtrado incluyó:

• Películas completas todavía inéditas, que aparecieron en sitios de torrent días después
• Intercambios de correos entre ejecutivos, incluidos comentarios racistas y críticas a actores famosos
• Salarios y datos personales de decenas de miles de empleados y exempleados
• Planes editoriales, guiones y negociaciones confidenciales con distribuidores
• Contraseñas de sistemas internos y credenciales de acceso a plataformas externas

La filtración de los correos ejecutivos fue especialmente devastadora para la imagen de la empresa. Conversaciones privadas entre la entonces copresidenta Amy Pascal y el productor Scott Rudin — con comentarios despectivos sobre estrellas de Hollywood — se convirtieron en titular en todo el mundo.

La conexión con "The Interview"

El detonante explícito del ataque fue The Interview, comedia de Sony protagonizada por Seth Rogen y James Franco sobre un intento de asesinato de Kim Jong-un. Corea del Norte había calificado la película de "un acto de guerra" y exigido formalmente que EE. UU. prohibiera su distribución — y EE. UU. lo ignoró.

En diciembre de 2014, el GOP envió amenazas directas a los cines que exhibieran la película, haciendo referencia a los ataques del 11 de septiembre. Grandes cadenas de exhibición cancelaron las funciones. Sony, bajo presión, anunció que no estrenaría The Interview. La decisión fue duramente criticada por el gobierno de Obama, que la calificó de "error".

Cinco días después, Sony dio marcha atrás: lanzó la película simultáneamente en plataformas online y en cines independientes. The Interview recaudó más de 15 millones de dólares en streaming en las primeras semanas — mientras Corea del Norte seguía furiosa.

La respuesta: FBI, Obama y sanciones históricas

El 19 de diciembre de 2014, el FBI confirmó públicamente que Corea del Norte era responsable. Era la primera vez que Estados Unidos atribuía oficialmente un ciberataque destructivo a un Estado extranjero en una declaración pública.

El presidente Barack Obama fue más allá: en enero de 2015, firmó una orden ejecutiva imponiendo nuevas sanciones económicas contra Corea del Norte específicamente en represalia por el hack a Sony. Fue la primera vez en la historia estadounidense que un presidente sancionaba a un país extranjero en respuesta directa a un ataque cibernético.

Corea del Norte negó cualquier participación — y después elogió el hack, sin reconocer implicación directa. La contradicción no pasó desapercibida.

El legado del hack a Sony

El incidente cambió la forma en que el mundo corporativo ve el riesgo cibernético de Estado. Hasta 2014, la mayoría de las empresas veía a los hackers estatales como un problema de gobiernos, de agencias de inteligencia y de infraestructura crítica — no de estudios de cine.

El hack a Sony demostró que cualquier empresa con alto perfil público y acceso a datos sensibles puede convertirse en objetivo geopolítico. La motivación no tenía que ser financiera: bastaba con que existiera el interés de un Estado en castigar o intimidar.

Además, el ataque popularizó un tipo de respuesta a incidentes que hoy es estándar en la industria: threat hunting proactivo — buscar señales de intrusión dentro de la red antes de que el atacante active la fase destructiva. En el caso de Sony, los intrusos permanecieron semanas dentro de la red sin ser detectados. Si hubiera habido herramientas de detección de movimiento lateral activas, el ataque podría haberse interrumpido mucho antes.

Heartbleed en abril de 2014 y el hack a Sony en noviembre fueron las dos mayores alertas de aquel año: la primera sobre fallas estructurales en software ampliamente usado, la segunda sobre la disposición de los Estados a usar los ciberataques como instrumento de política exterior. Juntas, redefinirían lo que significa "seguridad corporativa" en el siglo XXI.

Qué aprender de todo esto

El ataque a Sony no fue extremadamente sofisticado en términos técnicos — el punto de entrada fue spear phishing, una técnica conocida. Lo que hizo tan grande el daño fue la combinación de ausencia de segmentación de red (una vez dentro, los atacantes llegaron a todo), falta de monitoreo de exfiltración y la naturaleza del wiper, que imposibilitó una recuperación rápida.

Tres lecciones directas que todavía se aplican a cualquier organización hoy:

• Segmenta la red: las credenciales de un empleado no deben abrir acceso a servidores de producción, copias de seguridad y datos de RR. HH. al mismo tiempo.
• Monitorea anomalías de volumen: terabytes de datos saliendo de una red corporativa en días producen patrones identificables — si alguien está mirando.
• Implementa detección de movimiento lateral: herramientas de EDR y SIEM configuradas para alertar sobre accesos inusuales entre segmentos de red marcan la diferencia entre contener un incidente y la destrucción total.

Para entender cómo operan grupos como Lazarus desde el principio y el impacto de ataques de infraestructura a gran escala, vale la pena revisitar los casos que abrieron el manual que siguen hasta hoy.