Sony atteint le jackpot des 100 millions et bien plus encore

100 millions c'est le nombre de comptes piratés. 77 millions liés au PSN et 24.5 millions environ pour ses services de jeux en ligne SEO. En plus des informations personnelles, c'est plus de 2 millions de numéros de cartes de crédit au minimum qui sont dans la nature, question de ne pas faire les choses à moitié.

Retour sur une faille connue

Depuis l'arrêt des serveurs il y a maintenant plus de deux semaines, on ne peut pas dire que Sony ait été très jouasse sur la communication et les explications sont même restées plutôt évasives (on sait que vous flippez et que vous avez honte mais bon...).

C'est lors de la conférence du week-end dernier que Shinji Hasejima, "chief information officer", a avoué que Sony connaissait la faille qui a été exploitée sur ses serveurs mais que la firme ne voyait pas l'urgence de la corriger par manque de convictions... Si ce genre de comportement s'observe fréquemment dans les petites structures, c'est aussi malheureusement le cas chez les multinationales. Ce n'est pas propre à Sony mais bel et bien à une mentalité du "tant que nous ne sommes pas hackés, il n'y a pas de problème".

Pire encore, Sony était parfaitement au courant de l'obsolescence du software de ses structures et ce, depuis un bon moment déjà. On notera notamment une version d'Apache (serveur web) non patchée avec en bonus l'absence de firewall. On parle ici d'erreur complètement inexcusable de la part du géant japonais, qui frôle l'inconscience (ou alors c'est de l'incompétence avérée).

Économiquement parlant, on est d'accord pour dire qu'arrêter les serveurs et faire une maintenance structurelle conséquente engendre des coûts importants. Après, tout est question de calcul et de gestion des risques. Est-ce que cela vaut la peine de dépenser X, si le pourcentage d'être piraté est de Y ? Apparemment, Sony pensait que ça n'en valait pas la peine, et les conséquences sont bien évidemment complètement désastreuses.

Des accusations faciles

Ne sachant pas trop comment réagir, c'est à cause d'un bête fichier appelé Anonymous contenant la phrase "We are Legion" que Sony accuse le groupe qui lui, dément ces accusations via un communiqué.

Mais le gros problème avec Anonymous c'est que tout le monde peut s'en réclamer, il n'y a aucune hiérarchie ce qui fait la force du mouvement mais aussi sa plus grande faiblesse puisqu'en général on peut donc tout faire sous couvert d'Anonymous sans se poser trop de questions. Toutefois, Anonymous possède quelques valeurs communes à ses membres (le vol n'en fait pas partie).

Ce serait une première si Anonymous revendait les informations des utilisateurs; ce serait complètement en marge de leurs opérations habituelles. Aucun message positif ne peut sortir de ce genre d'opérations (enfin aucun message tout court d'ailleurs). Leur truc c'est plutôt de dénoncer des pratiques via la publications de documents confidentiels ou encore monter des attaques DDOS, mais sûrement pas la revente de comptes d'utilisateurs et de numéros de cartes de crédit sur des marchés parallèles.

À ce propos, la lettre ouverte adressée par des membres d'Anonymous est claire : "1- Anonymous n'a jamais été connu pour être engagé dans le vol de cartes de crédit".

Hé puis sincèrement, ce n'est pas à Sony de trouver le coupable mais au FBI. Sony a déjà fort à faire pour calmer les ardeurs de ses usagers qui sont loin d'être satisfaits des agissements de la firme depuis le début du scandale.

Une confiance entamée

Que ce soit en Alabama aux USA ou encore à Toronto au Canada, les recours collectifs commencent à se monter et ce n'est pas loin d'1 milliard de dollars canadiens qui est réclamé (il va falloir penser à virer le département de gestion des risques hein les gars). Sony aura 20 jours pour faire sa défense (40 aux USA et 60 pour le reste du monde).

D'ailleurs, avec les rapports sur la sécurité de leurs serveurs, ils vont avoir du mal à dire qu'ils n'ont pas fait preuve de négligence... Entre les serveurs obsolètes, les failles connues et les informations non cryptées, Sony se retrouve devant un méchant problème (un truc qui t'empêcherais de dormir !). Quant à nous, utilisateurs du PSN, on peut se limiter à changer nos cartes Visa et Mastercard et on peut surveiller nos emails pendant quelques mois.

À tous ces déboires se rajoute une chute en bourse de 8% la semaine dernière qui démontre bien que le marché est sensible aux mésaventures de Sony. De plus, il est encore impossible de chiffrer les dommages réels que va subir réellement la compagnie. Entre les frais judiciaires, les expertises et audits en sécurité, l'arrêt des serveurs depuis le 20 avril dernier et les opérations publicitaires pour se rebâtir une image digne de confiance, il y a du boulot...

Hé oui, il va falloir dédommager tous ces clients. Je ne crois pas que les "pack de retour" promis par l'entreprise feront oublier la mauvaise image que Sony va devoir traîner pendant une longue période. Il faudra bien plus que des cadeaux de quelques dollars pour reconquérir son public. Il faudra déjà faire preuve d'un peu plus de transparence, ça ne leur fera pas de mal...

Reconstruire une image après une débâcle de cette ampleur est un enjeu de taille pour une marque qui va sortir une nouvelle console (la NGP) dans quelques mois. La concurrence, elle, peut profiter sans scrupule de la situation. Après tout, le monde des consoles est sans pitié...