もう止まらない…

security

(2011/07/05 更新)

PSN再開後も Sonyの関連会社のサイトで次々と問題が見つかり、もう止まらない状態になっています。おそらく今後しばらく続くと思いますが、以前のものも含めて先月から今日までの途中経過を整理しておきます。ただしこれらにどの程度関連性があるのかは、全くもって不明です。

(注) 以下の日付は公表された日ではなく、実際にインシデントが発生した日にしています。(ただし不明な場合は公開された日)

4/3-4/4
Anonymousによる Sonyへの DDoS攻撃が実施される。PSNのサーバが一部ダウン。
4/16-17
PC向けオンラインゲームを運営する米Sony Online Entertainment（SOE）のシステムに外部から何者かが侵入。約2,460万アカウント全員分の個人情報が盗まれたことが後に確認された。
4/17-19
Playstation Network (PSN)のシステムに外部から何者かが侵入。約7,700万アカウント全員分の個人情報が盗まれたことが後に確認された。
5/5
Sony Music Greece (sonymusic.gr) のサイトの一部が b4d_viperaによって改竄される。約8,400人分の個人情報が流出。
5/6
Sony Electronics (sel.sony.com)のサイトで、約2,500人分の個人情報が流出。2001年の懸賞に応募した人の情報が含まれている Excelファイルに誰でもアクセスできる状態だった。
5/11
Sony Music Indonesia (sonymusic.co.id)のサイトの一部が k4L0ng666によって改竄される。
5/16-17
So-netで、なりすましによるソネットポイントの不正利用が発生。約10万円相当のポイントが不正に交換される。
5/18
再開したばかりのPSNで、パスワードリセットの処理に問題が見つかる。メールアドレスと誕生日がわかれば、送られてくるメールを確認せずにリセットできる状態だった。
5/20
Sony Thailand (sony.co.th) のサイトの一部が改竄され、フィッシングサイトとして利用されていることを F-Secureが報告。
5/24
LulzSecが Sony Music Japan (sonymusic.co.jp) のサイトで SQL Injectionを発見、公開。
5/24
Sony Pictures Italia (sonypictures.it) のサイトで SQL Injectionが発見、公開。
5/24
Canadaにある Sony Ericsson (ca.eshop.sonyericsson.com) のサイトで Idahc が SQL Injectionを発見、公開。約2,000人分の個人情報が流出。
5/26
Sony Asia Pacific (ap.sony.com) のサイトで XSS, SQL Injectionが発見、公開。
5/28
Playstation Store (store.playstation.com) のサイトで XSSが発見、公開。情報ソースは 2ch。
5/31
LulzSecが Sony Pictures, Sony BMG Belgium, Sony BMG Netherlands の各サイトで SQL Injectionを発見。取得した情報の一部を6/3に公開。Sony Picturesからは37,500人分の個人情報が流出。
6/3
Sony Europe のサイトで Idahcが SQL Injectionを発見、公開。120人分の個人情報が流出。
6/5
Sony Music Russiaのサイトで SQL Injectionが発見、公開。LulzSecが公開したが、オリジナルは過去に報告済みのもののようだ。(LulzSecは自分達が見つけたものではないとコメントしている)
6/6
LulzSecが Sony Computer Entertainmentの Developer Network (scedev.net)のサイトのソースコードを公開。情報取得の経緯については触れていない。
6/6
LulzSecが Sony BMGの内部ネットワーク情報(IPアドレス、ネットワーク図など)を公開。情報取得の経緯については触れていない。
6/8
ソニーポイントで 6/8未明、なりすましによる被害が発生。95件のメールアドレスが利用され、278,000ポイント(約28万円相当)が不正に交換される。
6/9
Sony Music Portugal (sonymusic.pt) のサイトで Idahc が SQL Injectionを発見、公開。約350人分のメールアドレスが流出。
6/20
Sony Pictures France (sonypictures.fr) のサイトで Idahcと Auth3ntiqが SQL Injectionを発見、公開。約70人分のメールアドレスが流出。
7/5
Sony Music Ireland (sonymusic.ie)のサイトが何者かに改ざんされ、偽のニュース情報が掲載される。


他にも細かいものはいろいろありますね。


(2011/05/25 更新) 一部日付が間違っていたので修正しました。@kitagawa_takujiさん、ご指摘ありがとうございます。あと最新情報を追加しました。
(2011/05/29 更新) 最新情報を追加しました。まだまだこれからだよ〜、と呟いている人がいてコワいですw
(2011/06/04 更新) 最新情報を追加しました。予告通りに @LulzSecから出てきました。
(2011/06/07 更新) 最新情報を追加しました。上記よりもさらに過去のものまで含めたまとめが attrition.orgで公開されています。
(2011/06/10 更新) 最新情報を追加しました。Sony Picturesからのアナウンスにあわせて、情報流出の人数を訂正しました。
(2011/06/20 更新) 最新情報を追加しました。
(2011/07/05 更新) 最新情報を追加しました。