La Breach di Sony Pictures (2014): quando un hack diventa crisi diplomatica
Introduzione
Il lunedì mattina del 24 novembre 2014, i dipendenti di Sony Pictures Entertainment arrivarono in ufficio, accesero i computer, e trovarono uno schermo che non avevano mai visto. Uno scheletro rosso. Sotto lo scheletro, un messaggio:
“We’ve obtained all your internal data including your secrets and top secrets. If you don’t obey us, we’ll release data shown below to the world. Hacked By #GOP”
GOP stava per “Guardians of Peace.” Sotto il messaggio c’era una lista di quello che sostenevano di aver rubato: film inediti, budget, contratti, email dei dirigenti, dati personali dei dipendenti.
Non era un bluff. In quel momento, circa 100 terabyte di dati erano già stati esfiltrati dai server di Sony. E nel giro di pochi minuti, un wiper iniziò a cancellare i dati da migliaia di computer dell’azienda simultaneamente.
Quello che seguì fu uno degli attacchi informatici più devastanti nella storia aziendale americana — e l’episodio in cui un breach informatico divenne, per la prima volta in modo inequivocabile, una crisi diplomatica internazionale.
Sony Pictures nel 2014: un bersaglio con problemi strutturali
Per capire la portata del breach è utile capire lo stato della sicurezza informatica di Sony Pictures nel 2014.
Non era un’azienda che ignorava completamente la sicurezza. Aveva un team IT. Aveva policy. Ma aveva anche problemi strutturali che un’analisi successiva all’incidente avrebbe reso devastantemente chiari.
Mesi prima del breach, un penetration tester assunto da Sony aveva consegnato un report che elencava vulnerabilità critiche nell’infrastruttura. Il report fu ricevuto, classificato, e essenzialmente ignorato. I costi di remediation erano considerati eccessivi.
Tra i problemi documentati: password conservate in chiaro in file di testo, sistemi non patchati, segmentazione di rete insufficiente tra sistemi critici e non critici, credenziali di amministratore condivise tra più sistemi.
Il penetration tester aveva chiamato il report interno “Sony’s Information Security Environment as of 2014”. Divenne uno dei documenti più imbarazzanti pubblicati nel breach.
L’intrusione: settimane di presenza invisibile
Gli attaccanti non entrarono la mattina del 24 novembre. Erano dentro da almeno due mesi.
L’analisi forense successiva all’incidente, condotta da Mandiant (ora parte di FireEye/Google), mostrò che gli attaccanti avevano compromesso i sistemi di Sony a partire da settembre 2014 attraverso credenziali rubate — probabilmente ottenute tramite spear phishing su dipendenti specifici.
In quei due mesi, mentre la normale attività aziendale continuava intorno a loro, gli attaccanti:
Mapparono sistematicamente la rete interna. Identificarono i sistemi critici, i server di storage, i file server, le workstation dei dirigenti. Capirono dove erano i dati di valore.
Escalated i privilegi. Usando le credenziali iniziali come punto di partenza, si mossero lateralmente attraverso la rete, acquisendo privilegi sempre più elevati fino a raggiungere account di dominio administrator.
Esfiltrano lentamente. 100 terabyte di dati non si copiano in una notte senza essere notati. L’esfiltrazione avvenne in modo graduale, distribuita nel tempo, usando trasferimenti che si mimetizzavano nel normale traffico di rete. Nessun alert scattò.
Prepararono il wiper. Nelle settimane precedenti all’attivazione, installarono silenziosamente il malware distruttivo su migliaia di macchine, configurato per attivarsi simultaneamente.
Il 24 novembre fu il giorno in cui decisero di rivelare la propria presenza — non il giorno in cui entrarono.
Il wiper: il danno fisico
Il malware wiper installato sulle macchine Sony era sofisticato. Quando si attivò alle 8:00 del mattino ora del Pacifico del 24 novembre, eseguì una sequenza distruttiva su migliaia di computer contemporaneamente:
- Sovrascriveva il Master Boot Record del disco fisso — rendendo il sistema impossibile da avviare
- Sovrascriveva i file con dati casuali — rendendo il recovery impossibile senza backup
- Si diffondeva ai sistemi raggiungibili sulla rete locale prima di completare la distruzione
In poche ore, la maggior parte dei computer di Sony Pictures era inutilizzabile. I dipendenti non potevano accedere a email, file, sistemi di produzione. Non potevano nemmeno usare i telefoni VOIP aziendali, che giravano sulla stessa rete.
Sony tornò a carta e penna per giorni. I dipendenti usavano cellulari personali per comunicare. Le approvazioni dei contratti avvenivano via fax. Era il 2014 e una delle più grandi case di produzione cinematografica del mondo non riusciva a mandare un’email aziendale.
Il recovery completo dei sistemi prese mesi e costò, secondo le stime successive, tra i 35 e i 100 milioni di dollari.
I dati pubblicati: settimane di umiliazioni pubbliche
Mentre Sony cercava di rimettere in piedi la propria infrastruttura IT, gli attaccanti iniziarono a pubblicare i dati rubati su siti di file sharing. I giornalisti di tutto il mondo si tuffarono nel materiale. Quello che emerse fu devastante.
I film inediti
Cinque film ancora inediti furono pubblicati online nelle settimane successive: “Annie”, “Fury”, “Still Alice”, “Mr. Turner”, “To Write Love on Her Arms”. Furono scaricati milioni di volte prima dell’uscita in sala.
I danni al botteghino furono reali ma difficili da quantificare. “Fury”, ad esempio, fu scaricato illegalmente oltre 1,2 milioni di volte nella prima settimana dopo il leak — ma uscì nelle sale ugualmente e incassò 85 milioni di dollari nel solo mercato americano.
Le email dei dirigenti
Questa fu la parte più devastante per la reputazione dell’azienda.
Amy Pascal, co-presidente di Sony Pictures, aveva scambiato email con il produttore Scott Rudin che includevano battute razziste sul Presidente Obama — speculando su quali film avrebbe potuto apprezzare basandosi sulla sua etnia (“Django Unchained? 12 Years a Slave?”). Le email circolarono globalmente. Pascal si scusò pubblicamente. Rudin si scusò pubblicamente. Non servì molto.
Le stesse email mostravano Pascal esprimere opinioni molto dirette su attori, registi e altri dirigenti. Angelina Jolie era descritta come “una bambina viziata” in un messaggio. David Fincher era discusso in termini che Fincher trovò sufficientemente offensivi da commentare pubblicamente.
Altre email mostravano negoziazioni salariali riservate, discussioni su potenziali acquisizioni aziendali, valutazioni interne sulla qualità di film in sviluppo — il tipo di comunicazione che esiste in qualsiasi azienda ma che non è mai pensata per essere pubblica.
Le disparità salariali
Tra i dati pubblicati c’erano le buste paga di tutti i dipendenti. I giornalisti notarono rapidamente che le attrici di punta di Sony guadagnavano significativamente meno dei loro colleghi maschi a parità di ruolo e importanza. Jennifer Lawrence scoprì dai dati pubblicati che guadagnava meno dei colleghi maschi in “American Hustle”. Scrisse un saggio su Hollywood Reporter che divenne uno dei testi fondamentali del dibattito sulla gender pay gap a Hollywood.
I dati personali dei dipendenti
47.000 dipendenti ed ex dipendenti videro i propri numeri di previdenza sociale, informazioni mediche, valutazioni delle performance e salari pubblicati online. Molti presentarono azioni legali collettive contro Sony per la gestione negligente dei loro dati.
“The Interview” e la Corea del Nord
Il movente dell’attacco divenne chiaro in modo progressivo. Sony stava per rilasciare “The Interview” — una commedia con Seth Rogen e James Franco in cui due giornalisti vengono reclutati dalla CIA per assassinare Kim Jong-un durante un’intervista televisiva.
La Corea del Nord aveva già protestato ufficialmente contro il film a giugno 2014, sei mesi prima del breach, definendolo “un atto di terrorismo e guerra” e minacciando “misure decise” se fosse stato distribuito.
Il 16 dicembre 2014, gli attaccanti inviarono un messaggio minaccioso ai dirigenti di Sony che citava esplicitamente “11 settembre” e minacciava attacchi fisici ai cinema che avrebbero proiettato il film.
Sony capitolò. Il 17 dicembre annunciò che avrebbe ritirato il film dall’uscita del 25 dicembre. Non ci sarebbero state proiezioni.
La reazione fu immediata, bipartisan e feroce. Barack Obama dichiarò in conferenza stampa che Sony aveva “fatto un errore” e che non si poteva consentire che le minacce terroristiche dictassero le scelte delle aziende americane. Decine di registi e attori firmarono lettere aperte contro la decisione. George Clooney cercò di raccogliere firme in Hollywood per una petizione di solidarietà — non riuscì a far firmare nessuno, fatto che raccontò poi come rivelatore della paura che il caso aveva generato nell’industria.
Sony alla fine fece parziale retromarcia: distribuì il film il 25 dicembre in circa 300 cinema indipendenti e simultaneamente online tramite YouTube, Google Play e Xbox. Incassò circa 40 milioni di dollari in noleggi digitali nelle prime settimane — un risultato sorprendente per un film distribuito in circostanze così caotiche.
L’attribuzione: la Corea del Nord
Il 19 dicembre 2014, l’FBI emise una dichiarazione formale attribuendo l’attacco alla Repubblica Popolare Democratica di Corea e al gruppo hacker noto come Lazarus Group.
Le prove citate dall’FBI:
Sovrapposizione del codice: parti del malware wiper usato contro Sony condividevano codice con malware precedentemente attribuito alla Corea del Nord, incluso software usato in attacchi alle banche sudcoreane nel 2013.
Infrastruttura sovrapposta: alcuni degli indirizzi IP usati nell’attacco erano stati usati in precedenti operazioni nordcoreane, inclusi server in diversi paesi usati come proxy.
Metodologia coerente: le tecniche di movimento laterale, esfiltrazione e distruzione erano coerenti con il modus operandi documentato del Lazarus Group.
Timing e motivazione: la correlazione con “The Interview” e le precedenti minacce nordcoreane era difficile da ignorare.
Alcune voci della comunità della sicurezza informatica sollevarono obiezioni: le prove tecniche erano circostanziali, un attaccante sufficientemente sofisticato potrebbe aver deliberatamente inserito “fingerprint” nordcoreane per depistare. Il ricercatore Marc Rogers e altri pubblicarono analisi tecniche che contestavano l’attribuzione.
Il governo americano non modificò la propria posizione. Obama annunciò nuove sanzioni contro la Corea del Nord in risposta all’attacco — la prima volta che gli USA rispondevano a un cyberattack con sanzioni formali.
Amy Pascal: la fine di un’era
Amy Pascal si dimise dalla co-presidenza di Sony Pictures il 5 febbraio 2015, circa due mesi dopo il breach. La dichiarazione ufficiale parlava di un accordo per creare una propria casa di produzione con Sony come partner.
La realtà, come spesso in questi casi, era più complicata. Pascal era stata co-presidente di Sony Pictures per quasi 15 anni, uno dei periodi più produttivi della casa di produzione. Le email pubblicate — con il loro mix di battute imbarazzanti, commenti duri su colleghi e talvolta idee creative brillanti — avevano reso la sua posizione insostenibile pubblicamente.
In un’intervista successiva, Pascal disse che la lezione che aveva imparato era semplice: “Non scrivere nulla in un’email che non vorresti vedere pubblicato in prima pagina del New York Times.”
È diventata una delle massime più citate in materia di comunicazione aziendale nel settore tecnologico.
Le lezioni di sicurezza
Il caso Sony è diventato un caso di studio obbligatorio nei corsi di sicurezza informatica per diversi motivi:
L’esfiltrazione lenta è invisibile
100 terabyte non si rubano in un’ora senza trigger alert. La chiave è che gli attaccanti distribuirono l’esfiltrazione su settimane, mimetizzandola nel traffico normale. I sistemi DLP (Data Loss Prevention) di Sony non erano configurati per rilevare questo tipo di esfiltrazione graduale. La lezione: il monitoraggio del traffico in uscita e l’anomaly detection sul volume di dati trasferiti sono componenti critici — non opzionali.
Il wiper come arma di doppio danno
Il modello “rubano E distruggono” era relativamente nuovo nel 2014 ma è diventato standard nei threat actor statali successivi. NotPetya nel 2017, gli attacchi alle infrastrutture ucraine — la capacità di usare un wiper dopo un’esfiltrazione crea un doppio danno: perdi i dati due volte (li hanno loro, e tu non li hai più). I backup offline e la segmentazione della rete limitano il raggio d’azione di un wiper.
Le email sono potenzialmente pubbliche
I dirigenti di Sony comunicavano via email con una franchezza che assumeva implicitamente la confidenzialità permanente. Il breach ha dimostrato che quella assunzione è sbagliata. Ogni email è potenzialmente pubblica. La comunicazione scritta di lavoro deve tenerne conto — non per autocensurare il contenuto creativo, ma per mantenere un livello di professionalità che regge all’esposizione pubblica.
La sicurezza della catena di fornitura
Una parte significativa dei dati esposti riguardava non solo Sony ma i suoi fornitori, partner e talent. Agent, avvocati, produttori esterni — tutti avevano dati nel sistema di Sony che non avevano modo di proteggere direttamente. La sicurezza di un’organizzazione è solo tanto forte quanto il suo anello più debole, inclusi i partner esterni.
Il gap tra report di sicurezza e azione
Il penetration test che aveva documentato le vulnerabilità di Sony mesi prima del breach è forse la parte più istruttiva dell’intera vicenda. Le vulnerabilità erano note internamente. Il costo della remediation era stato valutato troppo alto. La decisione si rivelò catastrophicamente sbagliata.
Questa dinamica — report di sicurezza che documentano rischi reali, management che valuta il costo della remediation come superiore al rischio — è comune in molte organizzazioni. Il caso Sony è l’esempio più citato di cosa succede quando quella valutazione si rivela errata.
Il precedente geopolitico
Al di là delle lezioni tecniche, il breach di Sony Pictures ha stabilito un precedente geopolitico che ha cambiato il modo in cui governi e aziende pensano alla cybersecurity:
Per la prima volta un paese straniero aveva usato un cyberattack su un’azienda privata americana per influenzare una decisione commerciale — cosa pubblicare o non pubblicare. Non era spionaggio. Non era sabotaggio di infrastrutture militari. Era intimidazione commerciale attraverso strumenti informatici.
Per la prima volta il governo americano aveva risposto a un cyberattack con sanzioni formali contro uno stato nazione — stabilendo un precedente per come gli USA avrebbero risposto ad attacchi futuri.
Per la prima volta il dibattito sulla responsabilità delle aziende private nella protezione dalla cyberwarfare statale era diventato mainstream. Sony era una vittima — ma era anche accusata di non aver fatto abbastanza per proteggersi. Dove finisce la responsabilità dell’azienda privata e dove inizia quella dello stato nel proteggere le infrastrutture private da attacchi statali stranieri?
Conclusione
Il breach di Sony Pictures del 2014 è rimasto nella storia per molte ragioni simultanee: la devastazione operativa del wiper, la portata dell’esfiltrazione, l’imbarazzo pubblico delle email, la crisi diplomatica con la Corea del Nord.
Ma la lezione più duratura è forse la più semplice: gli attaccanti avevano tutto il tempo del mondo. Due mesi di presenza invisibile, esfiltrazione graduale, preparazione meticolosa prima del momento dell’attivazione. Sony non sapeva nulla.
Il tempo medio di permanenza di un attaccante in una rete prima della scoperta era, nel 2014, di circa 200 giorni. Il caso Sony era nella media. Significa che in qualsiasi momento, in qualsiasi organizzazione con infrastrutture di monitoraggio insufficienti, qualcuno potrebbe essere dentro da mesi senza che nessuno lo sappia.
È questo il pensiero che dovrebbe guidare la progettazione di un programma di sicurezza: non “come impedisco a qualcuno di entrare” — ma “assumendo che qualcuno sia già dentro, come lo trovo?”