Piratage de Sony Pictures Entertainment

Le 24 novembre 2014, le matin précédant Thanksgiving, les employés de Sony Pictures Entertainment à Culver City se sont connectés pour découvrir un crâne stylisé sur chaque poste de travail et un message d'un groupe jusqu'alors inconnu se faisant appeler « Guardians of Peace ». Derrière cette façade se trouvait le Lazarus Group nord-coréen, qui avait déclenché un wiper destructeur sur environ la moitié du parc informatique de Sony et exfiltré des téraoctets de données internes avant la destruction.

Ce qui s'est passé

Les opérateurs de Lazarus étaient présents sur le réseau de Sony Pictures depuis environ septembre 2014, ayant obtenu un accès via le harponnage de cadres dirigeants et y séjournant pendant des mois afin de collecter des identifiants et de cartographier l'environnement. L'analyse ultérieure du FBI américain a suggéré que des identifiants avaient été compromis au cours des mois précédents et stockés en vue de la charge utile destructrice finale.

Le 24 novembre, les opérateurs ont déclenché le wiper. Le logiciel malveillant a :

• Détruit les données sur ~3 000 serveurs et ~6 000 ordinateurs portables d'employés — soit environ la moitié du parc informatique total de Sony Pictures.
• Désactivé la messagerie interne, les systèmes téléphoniques, la paie et la majeure partie de l'infrastructure liée à la production de Sony Pictures.
• Laissé des employés physiquement présents au bureau sans aucun ordinateur fonctionnel, réduits à utiliser des documents papier et leurs téléphones personnels pendant plus d'une semaine.

En parallèle, Guardians of Peace a commencé à divulguer en ligne les données exfiltrées :

• Cinq films inédits, dont « Annie », « Fury » et « Mr. Turner » (Sony a déclaré 5 millions de dollars de pertes de revenus consécutives).
• E-mails internes entre dirigeants, agents et producteurs, comportant des remarques embarrassantes sur des acteurs et des personnalités majeures d'Hollywood.
• Données personnelles de 47 000 employés actuels et anciens — noms, numéros de sécurité sociale, demandes de remboursement médical, détails familiaux.
• Scénarios inédits et documents contractuels.

L'Interview qui tue

L'attaque a été largement interprétée comme des représailles à la sortie de « L'Interview qui tue », une comédie de Sony mettant en scène l'assassinat du dirigeant nord-coréen Kim Jong-un, dont la sortie en salles était prévue pour le 25 décembre 2014. Le 16 décembre, Guardians of Peace a publié un message menaçant de mener des attaques de type 11-Septembre contre les cinémas projetant le film.

Les quatre grandes chaînes de cinémas américaines — AMC, Regal, Cinemark, Carmike, Cineplex — ont retiré le film. Sony a annulé la sortie en salles. Les critiques publiques, y compris du président d'alors Obama, ont poussé Sony à revenir sur sa décision et à distribuer le film via une diffusion limitée en salles et en streaming.

Impact

• Coût direct de remédiation informatique : ~35 millions de dollars.
• Pertes de revenus, interruption d'activité et règlements de recours collectifs : ~50 millions de dollars et plus au cours des années suivantes.
• Règlement de recours collectif sur les données personnelles : 15 millions de dollars aux employés actuels et anciens en 2015.
• La perte de la sortie en salles de « L'Interview qui tue » et sa ressortie en vidéo à la demande ont été estimées à 30 millions de dollars de revenus perdus.
• Le PDG Michael Lynton et plusieurs cadres dirigeants ont démissionné au cours des deux années suivantes.

Attribution

Le FBI américain a attribué publiquement l'attaque à la Corée du Nord le 19 décembre 2014 — à l'époque, l'attribution gouvernementale américaine d'une cyberattaque à un acteur étatique la plus explicite jamais enregistrée. En septembre 2018, le DOJ a rendu public un acte d'accusation désignant Park Jin Hyok, un opérateur de Lazarus, comme participant à l'attaque de Sony ainsi qu'à WannaCry (2017) et au braquage SWIFT de la Banque centrale du Bangladesh (2016). Le dossier forensique a relié les trois opérations via du code de logiciel malveillant et une infrastructure de commande et de contrôle partagés.

Pourquoi c'est important

Sony Pictures est la première cyberattaque nation-État largement connue contre une entreprise privée pour des motifs politiques, et demeure le cas canonique du cyber-destructeur comme outil de coercition. Elle a également établi un schéma que Lazarus a réutilisé à grande échelle depuis : présence prolongée, préparation d'identifiants, effacement destructeur, extorsion publique à cadrage politique. La même filiation opérationnelle a conduit à WannaCry, au braquage de la Banque centrale du Bangladesh et à plus de 3 milliards de dollars de vols de cryptomonnaies ultérieurs.

L'incident a également redéfini la réflexion des entreprises sur :

• L'exposition de données internes — la fuite d'e-mails de Sony est encore citée comme l'exposition de messagerie d'entreprise la plus lourde de conséquences de l'histoire.
• L'assurance contre les attaques nation-État — l'incident Sony a été un cas test précoce de ce que couvre la cyberassurance lorsque l'attribution pointe vers un acteur étatique.
• La responsabilité cyber au niveau de la direction — le renouvellement de la direction après Sony a préfiguré les règles de divulgation ultérieures de la SEC concernant les incidents cyber significatifs.