PSN fora do ar: o hack que expôs 77 milhões de contas em 2011

Em 20 de abril de 2011, milhões de donos de PS3 abriram o menu online e encontraram a mesma mensagem: “O PlayStation Network está passando por manutenção.” Queda de algumas horas era coisa normal. Mas passaram um dia, depois dois, depois três. A “manutenção” não terminava. Seis dias depois, a Sony admitiu o que realmente acontecera: a PlayStation Network tinha sido invadida e os dados de 77 milhões de usuários estavam comprometidos. Era um dos maiores vazamentos de dados da história até aquele momento — e a empresa só contou depois de uma semana.

Como o ataque aconteceu

O ataque ocorreu entre os dias 17 e 19 de abril de 2011. Os invasores exploraram vulnerabilidades no servidor de aplicações web da Sony — servidores Apache rodando versões desatualizadas, sem os patches de segurança disponíveis à época. A arquitetura da rede seguia o modelo clássico de três camadas (servidor web, servidor de aplicação e banco de dados), e os atacantes conseguiram cruzar essas camadas até alcançar o banco de dados com as informações dos usuários.

A investigação da ICO (autoridade de proteção de dados do Reino Unido) concluiu que a Sony não mantinha a infraestrutura atualizada e usava configurações de segurança insuficientes. O grupo LulzSec, em declaração posterior, afirmou ter acessado parte dos dados da Sony Online Entertainment via SQL injection — uma das técnicas mais antigas e evitáveis da segurança ofensiva: entradas de dados não validadas corretamente permitem que um atacante envie comandos diretamente para o banco de dados.

O que foi exposto

Quais dados foram roubados no hack da PSN em 2011?

Nomes, endereços, e-mails, datas de nascimento, senhas e possivelmente números de cartão de crédito de 77 milhões de contas da PSN, além de 24,6 milhões de contas do Sony Online Entertainment.

A palavra "possivelmente" em relação aos cartões é ela mesma um sinal de falha: a Sony não tinha visibilidade suficiente para afirmar com certeza o que havia sido acessado. Quanto às senhas, a ICO concluiu que estavam protegidas de forma inadequada — um hashing fraco, sem uso de salt, que tornava os dados vulneráveis a ataques de dicionário caso os arquivos caíssem em mãos erradas.

No total, somando PSN e Sony Online Entertainment, o incidente atingiu perto de 102 milhões de contas — o que o tornava, naquele momento, o maior vazamento de dados de consumidores da história.

A Sony demorou seis dias para avisar

Um dos aspectos mais criticados do incidente não foi o ataque em si — brechas acontecem — mas a resposta da Sony. A empresa levou seis dias após detectar a invasão para notificar os 77 milhões de usuários afetados. Nesse intervalo, dados pessoais e possivelmente financeiros estavam circulando sem que as vítimas soubessem.

A Sony só fez o comunicado público em 26 de abril, três dias depois de ter tirado a PSN do ar. O atraso foi justificado internamente como necessário para a investigação, mas reguladores e usuários não aceitaram a explicação. O Congresso americano convocou executivos da empresa para prestar esclarecimentos.

Essa demora é particularmente perigosa quando se considera o risco de credential stuffing: atacantes que obtêm um banco de dados de senhas testam as mesmas credenciais em outros serviços. Cada hora sem aviso é mais tempo para que isso aconteça em larga escala.

Anonymous hackeou a PSN?

A suspeita inicial recaiu sobre o coletivo Anonymous. Às vésperas do ataque, o grupo tinha declarado guerra à Sony por causa da ação judicial movida contra George Hotz (o "GeoHot"), desenvolvedor que havia desbloqueado o PS3 — e que a Sony processou por isso. O contexto era de conflito aberto e público.

O Anonymous, porém, negou envolvimento com a invasão em um comunicado direto: "Para essa, a gente não fez." A Sony, por sua vez, afirmou ter encontrado um arquivo nos seus próprios servidores com o texto "Anonymous" e o slogan "We Are Legion", sugerindo que alguém que se dizia parte do grupo estava envolvido — ou queria que parecesse isso.

O responsável pelo ataque principal nunca foi identificado. Ninguém foi formalmente indiciado pelo caso da PSN. O LulzSec assumiu uma invasão separada no sistema SOE da Sony, mas não a invasão principal.

As consequências para a Sony e os usuários

O custo total estimado para a Sony foi de US$ 171 milhões. A ICO britânica multou a empresa em £ 250.000, concluindo que "a violação era inteiramente evitável se a Sony tivesse mantido o software atualizado." Nos Estados Unidos, um acordo coletivo de US$ 15 milhões foi firmado em 2014.

Para os usuários, a compensação incluiu dois jogos gratuitos, 30 dias de PlayStation Plus e um ano de serviço de proteção contra roubo de identidade. A PSN voltou online parcialmente em 14 de maio de 2011 — 23 dias após o apagão.

O susto acelerou uma reformulação completa da infraestrutura de segurança da Sony, incluindo a criação de um time dedicado de cibersegurança e auditorias periódicas independentes.

O que esse incidente ainda ensina

O hack da PSN não foi sofisticado — foi oportunista. Software desatualizado, proteção inadequada de senhas e ausência de monitoramento ativo foram os ingredientes. Essa combinação de falhas clássicas continua sendo responsável por uma fatia enorme dos vazamentos reportados hoje.

Para o usuário comum, algumas práticas diretas saem desse episódio:

• Senhas únicas por serviço. Quando um banco de dados vaza, o primeiro movimento dos atacantes é testar as credenciais em outros serviços. Use um gerenciador de senhas e nunca repita combinações.
• Autenticação em dois fatores. Mesmo que sua senha vaze, o segundo fator impede o acesso automatizado em massa.
• Monitore seus dados. O Have I Been Pwned indexa vazamentos conhecidos e avisa se seu e-mail aparece em algum deles — incluindo o da PSN.

Para quem administra sistemas, o relatório da ICO é direto: manter patches em dia não é boa prática opcional, é responsabilidade legal. E o monitoramento precisa ser bom o suficiente para saber exatamente o que foi acessado — não apenas que algo foi acessado.

Se quiser entender como atacantes combinam dados vazados com técnicas de manipulação para escalar ataques, o post sobre engenharia social explica por que o elo humano continua sendo o mais explorado mesmo quando a técnica inicial é pura invasão de sistema.