Violation du PlayStation Network de Sony

Le 26 avril 2011, Sony a confirmé que des intrus avaient pénétré son PlayStation Network (PSN) et son service de diffusion Qriocity, exposant les données personnelles d'environ 77 millions de comptes. L'entreprise avait déjà mis les services hors ligne quelques jours plus tôt, entamant une panne mondiale de 23 jours qui a laissé des dizaines de millions de joueurs bloqués et a fait de l'incident l'une des violations de données de consommateurs les plus visibles de son époque.

Ce qui s'est passé

L'intrusion s'est produite entre le 17 et le 19 avril 2011 environ. Le 20 avril, après avoir détecté une activité non autorisée, Sony a brusquement mis PSN et Qriocity hors ligne — en offrant initialement peu d'explications, ce qui a alimenté plusieurs jours de confusion et de critiques. Ce n'est que le 26 avril que Sony a confirmé l'ampleur : les attaquants avaient obtenu des données de comptes comprenant noms, adresses postales et électroniques, dates de naissance, identifiants de connexion et mots de passe, ainsi que, potentiellement, l'historique des achats et les questions de sécurité.

Sony a déclaré ne pas pouvoir exclure que des données de cartes bancaires aient également été dérobées ; la presse de l'époque évaluait à environ 10 millions le nombre de cartes potentiellement concernées, bien que Sony ait indiqué que la table des cartes était chiffrée. Quelques jours plus tard, l'entreprise a révélé une violation distincte de Sony Online Entertainment, ajoutant environ 24,6 millions de comptes au total.

La panne

La violation a été autant un événement de disponibilité qu'une atteinte à la confidentialité des données. PSN étant hors service, le multijoueur en ligne, le PlayStation Store et la diffusion Qriocity étaient tous indisponibles pendant environ 23 jours — à l'époque la plus longue panne de PSN de son histoire. Sony a reconstruit et resécurisé son infrastructure réseau avant de rétablir les services par étapes à partir du 14 mai 2011, et a lancé un programme « Welcome Back » offrant des jeux et des contenus gratuits pour regagner la confiance.

Impact

• Les données personnelles d'environ 77 millions de comptes PSN/Qriocity ont été compromises, avec environ 24,6 millions de plus affectés via Sony Online Entertainment.
• Le réseau est resté hors ligne pendant environ 23 jours (quelque 552 heures), perturbant des dizaines de millions d'utilisateurs.
• Sony a estimé les coûts liés à la violation à environ 171 millions de dollars.
• En 2014, Sony a accepté un règlement de recours collectif d'une valeur pouvant atteindre 15 millions de dollars en jeux, monnaie virtuelle et remboursement de vol d'identité. Des régulateurs britanniques ont par ailleurs infligé une amende à Sony pour la violation.

Pourquoi c'est important

La violation de PSN a constitué un tournant pour la sécurité des plateformes grand public et pour les attentes en matière de divulgation des violations. Sony a été largement critiquée pour le retard et le flou de ses premières communications — un exemple instructif étudié depuis dans les formations à la réponse aux incidents. Elle a également démontré qu'une plateforme de divertissement en ligne détient les mêmes données d'identité et de paiement sensibles qu'une banque, et doit les défendre en conséquence. L'événement a renforcé les attentes du public et des régulateurs autour d'une notification des violations rapide et transparente et a contribué à catalyser la dynamique plus large en faveur d'une application plus stricte de la protection des données dans les années suivantes.