2011年 PlayStation Network の停止

2011年 PlayStation Network の停止

PlayStation Network ロゴ
日付	2011年4月20日～5月14日 ( 2011-04-20  – 2011-05-14 )
間隔	24日間（3週間と3日）
タイプ	「外部からの侵入」、データ侵害
ターゲット	PlayStation NetworkおよびQriocityサービス
結果	23日間のダウンタイム後にサービスが復旧、PSNユーザーに補償を提供 PlayStation Networkアカウント7,710万件の個人情報が流出 ソニーのコストは1億7100万ドル

2011年のPlayStation Networkの障害（ PSNハックとも呼ばれる）は、ソニーのPlayStation NetworkとQriocityサービスへの「外部からの侵入」の結果であり、約7,700万のアカウントの個人情報が漏洩し、PlayStation 3とPlayStation Portableコンソールのユーザーがサービスにアクセスできなくなった。^{[1] [2] [3] [4]}この攻撃は2011年4月17日から4月19日の間に発生し、^[1]ソニーは4月20日にPlayStation Networkサーバーを非アクティブ化せざるを得なくなった。障害は23日間続いた。^[5]

各国の政府関係者は、盗難とソニーがユーザーへの警告を1週間遅らせたことに懸念を表明した。この侵害により、ユーザー名、住所、メールアドレス、生年月日、パスワード、クレジットカードやデビットカード情報などの金融情報を含む個人を特定できる情報が漏洩し、危険にさらされた。 ^[6]

約7,700万アカウントの個人情報が漏洩し、PlayStation 3およびPlayStation Portableのユーザーがサービスにアクセスできなくなった。^{[1] [2] [3] [4]}

クレジットカードのデータは暗号化されていたが、侵入当時、他のユーザー情報は暗号化されていなかったことをソニーは認めた。^{[7] [8]} デイリー・テレグラフ紙は、「プロバイダーがパスワードを暗号化せずに保存すると、外部の攻撃者だけでなく、ソニーのサイトで働くスタッフや請負業者など、他の誰かがアクセスしてパスワードを発見し、悪意のある目的で使用する可能性が非常に高くなります」と報じた。^[9] 5月2日、ソニーはユーザーのパスワードが「暗号化されていない」状態であることを明らかにした。^[10]

保存されたパスワードは「暗号化」されていませんでしたが、暗号ハッシュ関数を使用して変換されました。これら 2 種類のセキュリティ対策には違いがあるため、パスワードは暗号化されていないと述べました。ただし、パスワードは平文形式でデータベースに保存されたわけではないことを明確にしておきたいと思います。

10月45日、停電からほぼ1週間後、ソニーはPlayStation Networkアカウントのユーザー名、パスワード、自宅住所、メールアドレスなどの個人情報が漏洩した可能性を「否定できない」と認めた^[11]。ソニーはまた、データベースに暗号化が施されており、サーバー上にクレジットカード情報を保存するPCIコンプライアンスを部分的に満たしていると主張した後、クレジットカードデータが盗まれた可能性にも言及した。公式ブログと電子メールの両方で発表された後、ユーザーは銀行の明細書をチェックしてクレジットカード取引を保護するよう求められた。この警告は、最初の「外部からの侵入」からほぼ1週間後、ネットワークがオフになっている間に出された。^[12]

障害発生当時、PlayStation Networkの登録アカウント数は7,700万件に達しており、^[13]これは最大規模のデータセキュリティ侵害の1つであっただけでなく、史上最長のPSネットワーク障害でもありました。^{[14] [15]}これは、4,500万人の顧客に影響を与えた2007年のTJXハッキング事件を上回りました。 ^[16]

2012年にガーディアン紙は次のように書いた。

何百万人ものユーザーのクレジットカード情報が漏洩した可能性のあるこの攻撃は、いかなるグループによるものなのかはこれまで判明していない。ただし、ソニーはその後間もなく、アノニマスが関与している可能性を示唆した。それ以降、ソニーは誰が攻撃を実行したのかを疑う詳細を明らかにしておらず、攻撃に関するデータも公開されていない。^[17]

ソニーは公式PlayStation Blogで、「PlayStation Networkの特定の機能がダウンしていることを認識している」ことを認めた。PlayStation 3経由でサインインしようとすると、ユーザーはネットワークが「メンテナンス中」であることを示すメッセージを受け取った。^{[18] [19]}翌日、ソニーは顧客に停止の原因を調査するまで待つよう求め、サービスが完全に機能するまでに「丸1日か2日」かかる可能性があると述べた。^[20]ソニーは世界中でPlayStation NetworkとQriocityのすべてのサービスを停止した。^[21]

ほとんどのゲームはオフラインモードでプレイ可能でしたが、PlayStation 3では特定のカプコンタイトルをいかなる形でもプレイすることができませんでした。Hulu 、Vudu、Netflix、LoveFilmなど、さまざまな地域のストリーミングビデオプロバイダーで同じメンテナンスメッセージが表示されました。一部のユーザーはNetflixのストリーミングサービスを利用できると主張しましたが^[22] 、他のユーザーは利用できませんでした。^[23]

ソニーは「外部からの侵入」がPlayStation NetworkとQriocityのサービスに影響を与えたと発表した。^[24]

ソニーはダウンタイムについて遺憾の意を表明し、システムの修復作業は「時間がかかる」が、ネットワークインフラの強化とセキュリティの強化につながると述べた。^[25]

ソニーの広報担当者パトリック・セイボルド氏はプレイステーションブログで、ネットワークの修復と強化は「時間のかかる」作業であり、完了の見込みはないと繰り返した。^[26]しかし翌日、ソニーは「プレイステーションネットワークとQriocityシステムをオンラインに戻す明確な道筋がある」と述べ、一部のサービスは1週間以内に復旧する見込みだと述べた。さらにソニーは「システムへの不法侵入の結果として個人情報が漏洩した」ことを認めた。^[27]

2011年4月26日、ソニーはPlayStation Blogで、PSNユーザーにデータ盗難について通知するのになぜ長い時間がかかったのかを説明した。^[28]

侵入があったと認識した時点と、消費者のデータが侵害されたことを知った時点の間には、タイミングの違いがあります。侵入があったことを知ったのは 4 月 19 日で、その後サービスを停止しました。その後、侵入がどのように行われたかを調べ、事件の性質と範囲を判断するための調査を行うために、外部の専門家を招きました。数日間のフォレンジック分析を行う必要があり、専門家が侵害の範囲を理解するのに昨日までかかりました。その後、その情報を消費者と共有し、今日の午後に公表しました。

ソニーは4月27日に投稿したブログで、刑事捜査に関する最新情報を提供している。「当社は現在、この件に関して法執行機関や有名な技術セキュリティ会社と協力して徹底的な捜査を行っています。当社のシステムと顧客に対するこの悪意のある攻撃は犯罪行為であり、当社は責任者を見つけるために積極的に取り組んでいます。」^[7]

ソニーは、障害の影響を受けた顧客向けに「Welcome Back」プログラムを発表した。同社はまた、一部のPSNおよびQriocityサービスが5月第1週に利用可能になることを確認した。^{[29] [30]}

ソニーはプレスリリースを発表し、それによると、ソニー・オンライン・エンタテインメント（SOE）のサービスは、最初の犯罪的ハッキング中に関連している可能性のある活動のため、メンテナンスのためにオフラインにされた。米国以外のカード所有者の12,000件以上のクレジットカード番号（暗号化されているが）と、2,470万のSOEアカウントの追加情報がアクセスされた可能性がある。^{[31] [32]}

その週、ソニーは米国下院に書簡を送り、この事件に関する疑問や懸念に答えた。^[33]この書簡の中でソニーは、クレジットカード詐欺の報告はないにもかかわらず、PlayStation NetworkとQriocityサービスのユーザー1人当たり100万ドルの個人情報盗難保険を提供すると発表した。これは後にPlayStation Blogで確認され、Debix提供のAllClear ID Plusサービスが米国のユーザーに12か月間無料で提供され、インターネット監視、盗難時の完全な個人情報修復、ユーザー1人当たり100万ドルの個人情報盗難保険が含まれることが発表された。^{[34] [35]}

ソニー・コンピュータエンタテインメントのCEO平井一夫氏は、プレイステーションネットワークの停止を引き起こした「外部からの侵入」は「犯罪的なサイバー攻撃」に当たると繰り返した。^[36]平井氏はさらに、ソニーのシステムは停止前の「過去1ヶ月半」にわたって攻撃を受けていたと主張し、ソニーを標的とする協調的な試みがあったことを示唆した。^[37]

5月3日、ソニーはプレスリリースで、4月16日にPlayStation Networkに対して発生した攻撃と、5月2日にソニー・オンライン・エンターテイメントが侵害された攻撃との間に相関関係がある可能性があると述べた。 ^[31]この攻撃により、ソニー・オンライン・エンターテイメントのアカウント保有者2,460万人の情報が盗まれた。データベースには、特に米国外居住者の12,700件のクレジットカード番号が含まれており、データの多くは期限切れのカードや削除されたアカウントに適用されていたため、2007年以降使用されていなかった。ソニーは翌日、この情報を更新し、データベース上の有効なカードは900枚のみであると述べた。^{[38]この攻撃により、SOEのサーバーと}Facebookゲームが停止された。 SOE は、 Clone Wars Adventures、DC Universe Online、EverQuest、EverQuest II、EverQuest Online Adventures、Free Realms、Pirates of the Burning Sea、PlanetSide、Poxnora、Star Wars Galaxies、Vanguard: Saga of Heroesのユーザーに対し、30 日間の無料期間と、サーバーがダウンしていた日数 1 日分の延長を付与したほか、その他のすべての Sony Online ゲームについても補償金を支払いました。

ソニーは、攻撃の分析を行うガイダンスソフトウェアとプロティビティの調査チームにデータフォルテを追加すると発表した。この事件の法的側面はベーカー＆マッケンジーが担当した。 ^[39]ソニーは、ハッカーと活動家からなる分散的で組織化されていない緩やかなつながりを持つグループであるアノニマスが攻撃を実行した可能性があると確信していると述べた。 ^[40]アノニマスのメンバーは関与を主張しなかった。^[41]

ソニーは、再建されたプレイステーションネットワークの「内部テストの最終段階」を開始したと述べた。^[42]しかし翌日、ソニーは、当時「ソニー・オンライン・エンターテインメント・サーバーへの攻撃の範囲」が不明であったため、5月1日に示された1週間の期間内にサービスをオンラインに戻すことはできないと報告した。^{[43] SOEは}Twitterアカウントで、ゲームは週末以降まで利用できないことを確認した。 ^[44]

ロイター通信は、この事件を「史上最大のインターネットセキュリティ侵入」として報道し始めた。^[45]ソニーの広報担当者は次のように述べた。^[46]

• ソニーはハッカーによって盗まれ、ウェブサイトに掲載された2,500人の個人情報を削除した。
• データには名前と住所が含まれており、2001年に作成されたデータベースに保存されていた。
• 再開の日程は未定

北米を皮切りに、国ごとにさまざまなサービスが再開され始めた。^[47]これらのサービスには、PSNおよびQriocityサービスへのサインイン（パスワードのリセットを含む）、PS3およびPSPでのオンラインゲームプレイ、レンタルビデオコンテンツの再生、Music Unlimitedサービス（PS3およびPC）、サードパーティサービスへのアクセス（Netflix、Hulu、Vudu、MLB.tvなど）、フレンドリスト、チャット機能、PlayStation Homeなどがある。^[47]これらの措置は、PS3のファームウェアアップデート、バージョン3.61とともに実施された。^[48] 5月15日現在、日本と東アジアでのサービスはまだ承認されていない。^[49]

ソニーは、他のユーザーのメールアドレスと生年月日を使用して他のユーザーのパスワードをリセットできる別の脆弱性^[50]が発見された後、自社サイトのパスワードリセットページを閉鎖しました。 ^[51] PSNの詳細を使用して他のさまざまなソニーのWebサイトにサインインすることも無効になりましたが、コンソールのサインインには影響がありませんでした。^[50]

ソニーは、停電によるコストは1億7100万ドルであると述べた。^[52]

ソフォスの上級技術コンサルタント、グラハム・クルーリー氏は、この情報漏洩は「個人に被害を与えたデータ損失としては間違いなく過去最大規模の一つだ」と述べた。^[53]

セキュリティ専門家のAnchorFreeのユージン・ラピダス、ソフォス・カナダのチェスター・ウィズニエフスキー、ライアソン大学（現トロント・メトロポリタン大学）のアヴナー・レビンは、ソニーのユーザーデータ保護手法を疑問視し、同社を批判した。ラピダスは今回の侵害を「弁解の余地がない」と呼び、ウィズニエフスキーは「傲慢な行為、あるいは単に甚だしい無能さ」と呼んだ。^{[54] [55] [56] [57]}

コネチカット州のリチャード・ブルーメンソール上院議員は、ソニーにデータ漏洩についての説明を要求した^{[58] 。SCEAのCEO、}ジャック・トレットンに電子メールを送り、顧客への通知が遅れたことを主張し、ソニーは無料の信用調査サービスを提供するだけでなく、顧客のためにもっと多くのことをすべきだと主張した。ブルーメンソール上院議員はその後、責任者を見つけ、ソニーがこの状況に対処した方法に責任があるかどうかを判断するために、米国司法省による調査を求めた^{[59] 。}

メアリー・ボノ・マック下院議員とGK・バターフィールド下院議員はソニーに書簡を送り、侵害がいつ発見されたのか、そして危機がどのように対処されるのかについて情報提供を要求した。^[60]

カナダのプライバシーコミッショナー、 ジェニファー・ストッダート氏は、カナダ当局が調査を行うことを確認した。コミッショナーの事務所は、カナダ当局がなぜ以前にセキュリティ侵害について知らされなかったのか懸念を伝えた。^[61]

英国情報コミッショナー事務局は、 1998年データ保護法違反に関するソニーの正式な調査の後、ソニーに25万ポンド（39万5千ドル）の罰金を科し、ソニーが導入していたセキュリティを厳しく批判する声明を発表した。

これほど多くの支払いカード情報やログイン情報を管理する責任があるなら、その個人情報を安全に保つことが最優先事項でなければなりません。このケースではそれが実現せず、データベースが標的となったとき（犯罪者の意図的な攻撃ではあったものの）、導入されていたセキュリティ対策は単に不十分でした。この企業がもっとよく知っておくべきだったことは否定できません。この企業は技術的な専門知識を売りにしており、この情報を安全に保つための技術的な知識とリソースの両方にアクセスできたことは間違いありません。^[62]

4月27日、アラバマ州バーミンガムのクリストファー・ジョンズがプレイステーションの全ユーザーを代表して訴訟を起こし、ソニーは「サーバー侵入の不測の事態に対処するためにデータを暗号化せず、適切なファイアウォールを確立せず、セキュリティ侵害について迅速かつ適切な警告を提供せず、PSNサービスのオンライン復帰を不当に遅らせた」と主張した。^{[63] [64]}訴訟で提出された訴状によると、ソニーはセキュリティ侵害の可能性について会員に通知せず、会員のクレジットカード情報を保存しなかった。^[65]これは、ペイメントカード業界のデジタルセキュリティ標準である PCIコンプライアンスに違反している。

カナダでソニーUSA、ソニーカナダ、ソニージャパンに対して起こされた訴訟では、無料の信用調査と個人情報盗難保険を含め、最大10億カナダドルの損害賠償が請求された。 ^[66]原告は「ソニーのような巨大な多国籍企業が個人情報の保護を信頼できないのなら、いったい誰を信頼すればいいのでしょうか。ソニーはプレイステーションのユーザーよりもゲームの保護に重点を置いているように思えます」と語ったと伝えられている。^[67]

2012年10月、カリフォルニア州の判事はPSNのセキュリティ侵害をめぐるソニーに対する訴訟を棄却し、「完璧なセキュリティなど存在しない」としてソニーはカリフォルニア州の消費者保護法に違反していないとの判決を下した。^[68]

5月1日の東京での記者会見で、ソニーは「ウェルカムバック」プログラムを発表した。このプログラムでは、「厳選されたプレイステーションのエンターテインメントコンテンツ」に加え、すべてのPSN会員にプレイステーションプラスの30日間無料メンバーシップを提供することを約束し、既存のプレイステーションプラス会員にはさらに30日間のサブスクリプションが付与された。Qriocityの加入者には30日間のサブスクリプションが付与された。ソニーは今後数週間で他のコンテンツやサービスも提供すると約束した。^[30]

Huluは、 PlayStation 3ユーザーがサービス停止中にサービスを利用できなかったことに対する補償として、Hulu Plus会員に1週間の無料サービスを提供した。^[69]

2011年5月16日、ソニーは、PlayStation 3用ゲーム2本とPSP用ゲーム2本を、それぞれ5つと4つのリストから無料で提供すると発表した。^{[ 70] [71]}提供されるゲームは地域によって異なり^{[70] [71]}、サービス停止前にPlayStation Storeにアクセスできた国でのみ利用可能だった。^[71] 2011年5月27日、ソニーは日本^[72]とアジア地域（香港、シンガポール、マレーシア、タイ、インドネシア）向けの「ウェルカムバック」パッケージを発表した。^[73]アジア地域では、「ウェルカムバック」パッケージで提供されるゲームに加えて、テーマ「どこでもいっしょ 春のテーマ」が無料で提供された。^[73]

^† 5つのPSPゲームが日本市場で提供されています。 ^[72]

^‡提供されているKillzone Liberation のバージョンでは、オンラインゲームプレイ機能は提供されません。 ^[71]

インターネット上では、一部のユーザーがクレジットカード詐欺に遭ったという報告があったが^{[74] [75] [76]}、この事件との関連はまだ明らかにされていない。ソニーは、同社のサービスで要求されたCSCコードは保存されていないと述べたが^[77]、ハッカーはソニーのネットワーク内でクレジットカードの詳細を解読または記録できた可能性がある。^[74]

5月5日、ソニー・コーポレーション・オブ・アメリカのCEO兼社長であるハワード・ストリンガー卿からの手紙では、クレジットカード詐欺の証拠は見つかっていないこと、PSNとQriocityのユーザーには100万ドルの個人情報盗難保険が提供される予定であることが強調された。^[35]

2010年3月、ソニーはPlayStation 3のファームウェアアップデートを開始し、Linuxなどのサードパーティ製オペレーティングシステムをインストールする機能を削除しました。^{[78] [79]}この動きは、改造コミュニティから大きな反発を引き起こしました。

ジョージ・ホッツ（別名ジオホット）は、2011年1月2日にPS3ファームウェアの脱獄に成功し、その後すぐにその脱獄をオンラインで共有し始めた。^[80]これに対して、ソニーは2011年1月11日にホッツの脱獄行為を理由に訴訟を起こした。^[81]

ハッカー集団アノニマスは、抗議活動の一環として、2011年4月2日に「Operation Sony」を開始した。^[79]ソニーは最終的に4月11日までにホッツとの訴訟を解決した。 ^[82]これに続いて、アノニマスは4月13日にソニーに対する抗議活動を呼びかけた^。[79]