A Sony Interactive Entertainment (Sony) notificou funcionários atuais e antigos, bem como membros de suas famílias, sobre uma violação de segurança cibernética que expôs informações pessoais.
A empresa enviou a notificação de violação de dados para cerca de 6.800 pessoas, confirmando que a invasão ocorreu após uma parte não autorizada ter explorado uma vulnerabilidade de zero-day na plataforma MOVEit Transfer.
O zero-day é o
CVE-2023-34362
, uma falha crítica de injeção SQL que leva à execução remota de código, explorada pelo ransomware Clop em ataques em larga escala que comprometeram várias organizações ao redor do mundo.
A gangue de ransomware Clop adicionou o Grupo Sony à sua lista de vítimas no final de junho.
No entanto, a empresa não emitiu uma declaração pública até agora.
De acordo com a notificação de violação de dados, o comprometimento aconteceu em 28 de maio, três dias antes da Sony saber, pela Progress Software (o fornecedor do MOVEit), sobre a falha, mas foi descoberta no início de junho.
"No dia 2 de junho de 2023, descobrimos os downloads não autorizados, tiramos imediatamente a plataforma do ar e corrigimos a vulnerabilidade", diz a notificação.
"Uma investigação então foi iniciada com a ajuda de especialistas externos em segurança cibernética.
Também notificamos as autoridades policiais", diz a Sony na notificação de violação de dados.
A Sony informa que o incidente foi limitado à plataforma de software específica e não teve impacto em nenhum de seus outros sistemas.
Ainda assim, as informações sensíveis pertencentes a 6.791 pessoas nos EUA foram comprometidas.
A empresa determinou individualmente os detalhes expostos e os listou em cada carta individual, mas isso está censurado na amostra de notificação enviada ao Gabinete do Procurador-Geral do Maine.
Os destinatários da notificação agora estão sendo oferecidos serviços de monitoramento de crédito e restauração de identidade através da Equifax, aos quais podem acessar usando seu código único até 29 de fevereiro de 2024.
No mês passado, após alegações em fóruns de hackers de que a Sony havia sido violada novamente e 3,14 GB de dados foram roubados dos sistemas da empresa, a empresa respondeu dizendo que estava investigando as alegações.
O conjunto de dados vazado que pelo menos dois atores de ameaças separados possuíam, continha detalhes para a plataforma SonarQube, certificados, Creators Cloud, políticas de resposta a incidentes, um emulador de dispositivo para gerar licenças, e mais.
Um porta-voz da Sony compartilhou com o BleepingComputer a seguinte declaração, que confirma uma violação de segurança limitada:
Isso confirma que a Sony sofreu duas violações de segurança nos últimos quatro meses.
Publicidade
Em 14 de janeiro a Solyd irá revolucionar a forma como pentest e hacking deve ser ensinado. Se inscreva para ser o primeiro a saber das novidades. Saiba mais...