ComputerViews: Havde hackerangrebet mod Sony Pictures Entertainment den 24. november været manuskriptet til en Hollywood-film, ville Oscar-statuetten være halvt hjemme allerede nu.
For Sonys affære med hackerne indeholder al den dramatik og action, der skal til for at skræmme publikum fra første scene.
Så sæt dig godt til rette i kontorstolen, kære it-ansvarlige, for her kommer hovedingredienserne til en ny helaftensfilm:
"Sony på slagtebænken."
Akt for akt: Sådan ramte hackerne Sony
- Hackergruppen Guardian of Peace, der muligvis er fra Nordkorea, slår til mod det amerikanske Sony Pictures Entertainment med udspekuleret og effektiv malware.
- Et kranie toner frem på selskabets computere, malwaren sletter data på maskiner, Sony tvinges til at kappe forbindelsen til netværket.
- Hackerne når at stjæle 100 terabyte fortrolige data: Film, adgangskoder, emails og økonomiske oplysninger og lønsedler er en del af rovet. Sonys film offentliggøres på piratsider, hvorfra de nu downloades i ét væk.
- Hackerne truer Sony med at offentliggøre de stjålne data, og der sendes beskeder direkte til Sony-medarbejdere, hvor de og deres familier trues. Hackerne fortæller samtidig, at de slet ikke er færdige med at angribe Sony.
"At fjerne Sony Pictures fra planeten er et meget lille stykke arbejde for vores gruppe, der er en verdensomspændende organisation. Og det, vi har gjort indtil nu, er kun en lille del af vores videre plan."
- FBI går ind i sagen, fordi den har forbindelse til Nordkorea, og fordi man frygter, at andre amerikanske virksomheder kan blive ramt af malwaren.
- Det vurderes, at angrebet i første omgang vil koste Sony 600 millioner kroner.
- I et desperat modsvar lancerer Sony selv et denial of service-angreb på piratsiderne. Selskabets advokater truer samtidig med sagsanlæg mod nyhedsmedier, der offentliggør de stjålne informationer fra selskabet.
- Det afsløres, at Sony allerede i sommers blev advaret om sårbarheder af PricewaterhouseCoopers. Konkret fik selskabet besked om, at mindst 100 enheder på virksomhedens netværk ikke blev monitoreret af selskabets sikkerhedssystemer.
Agent 007 møder sin overmand
Med oplysninger som disse (og det skal for en god orden skyld siges, at Sony ikke har be- eller afkræftet de mange historier) er der lagt op til en hacker-skandale, hvor det sidste kapitel slet ikke er skrevet endnu.
Så sent som i denne weekend er det kommet frem, at man nu frygter, at en tidlig version af manuskriptet til den næste James Bond-film, Spectre, vil blive lækket til offentligheden efter Sony-angrebet.
Sådan en trussel kan selv agent 007 ikke stille meget op imod.
Sony Pictures Entertainment, der er en amerikansk afdeling af den japanske elektronik-gigant, havde i det seneste årsregnskab en omsætning på 48 milliarder kroner, så det er ikke en lille dreng med spaghettiarme, der har fået buksevand på internettet.
Men det er det, der er sket: Sony er blevet klædt af til skindet. Og at der er slet ikke udsigt til, at selskabet kan få varmen igen endnu.
Man kan indvende, at en anslået udgift på 600 millioner kroner er til at leve med for et selskabe af denne kaliber. Men selvom Sony nok skal overleve i økonomisk forstand, er situation ganske alvorlig for selskabet.
For det er langt fra første gang, at Sony bliver ramt af et hackerangreb. Med det tyvegods, hackerne slap afsted med i denne omgang, bliver det heller ikke sidste gang, at de slår til mod selskabet.
Det kan vi lære af angrebet mod Sony
For alle os andre står tre ting tilbage efter angrebet mod Sony:
1) Sløser man med sikkerheden, slår hackerne stensikkert til.
Sony-koncernens it-infrastruktur fremstår mere og mere som et slaraffenland for it-kriminelle. I 2011 fik hackerne eksempelvis adgang til 77 millioner brugerkonti fra Playstation-netværket, og det er blot et af en række angreb mod selskabet.
Sony har altså et problem. Både fordi infrastrukturen tilsyneladende ikke er beskyttet godt nok, men også fordi det naturligvis rygtes blandt de kriminelle, at Sony er et godt sted at slå til.
Selv hvis man forsøger at bygge rigtig solide mure op omkring virksomhedens digitale aktiver og gennemgår alle processer og godkendelsesprocedurer med en tættekam, er der ingen garantier. Det gælderr for så vidt alle virksomheder.
Men garantier er der slet ikke noget, der hedder, hvis man er et kendt brand som Sony. Derfor er det ekstremt farligt at sløse med sikkerheden.
2) Dit vigtigste våben: Katastrofeplanen.
Det var Sony selv, der kort efter angrebet valgte at lukke ned for firmaets netværk. Men det skete for sent.
Og da medarbejderne blev truet af hackerne, FBI blev involveret, og film lå på piratsiderne, var det hele tiden som om, at Sony var på bagkant med udviklingen.
Nu ser vi så Sony i en stribe desperate forsøg på at minimere skaderne - fra denial of service-angreb til advokat-breve. Men det er at dryp-tisse på verdens største brand.
En grundig og opdateret katastrofeplan havde ikke hindret angrebet mod Sony. Men den kunne have minimeret skaderne, og uanset hvad havde det fået Sony til at fremstå som en virksomhed, der - efter omstændighederne - var i kontrol med situationen.
Lige nu er det det modsatte, der er tilfældet.
3) Man skal lære af sine sårbarheder - og tage fat hvor det gør ondt.
Ingen af os ved, hvad der foregår internt hos Sony Pictures i disse dage, men man må håbe, at nogen taler klart og tydeligt og med så store bogstaver, at ingen kan være i tvivl om, at der skal ske ændringer.
Kampen mod hackerne er et spil, hvor der nødvendigvis er en vinder og en taber: Sony har (igen) tabt. Det bør have konsekvenser.
Det indebærer en øget sikkerhedsindsats og måske også fyringer, som vi eksempelvis så det, da den amerikanske butikskæde Target blev ramt af et stort angreb - her fik både CIO'en og CEO'en efterfølgende sparket.
Patienten Sony er syg, og den rette sikkerheds-medicin kender kun selskabet selv. At der skal ske noget, kan der dog ikke herske tvivl om. Man skal lære af sine sårbarheder, så man ikke bliver et tagselvbord for de it-kriminelle.
Mens vi venter på det næste angreb
Sony Pictures Entertainment har selv betegnet angrebet som "uden fortilfælde" og "en forbrydelse uden sidestykke," og selskabet mener, at det er udført af "en organiseret gruppe."
Selskabet er med andre ord klar over, at det her er ganske alvorligt. Derfor kræver det et seriøst modsvar fra
Sony.
Det kan kun gå for langsomt, for det eneste, der er helt sikkert her tre uger efter det katastrofale angreb, er, at hackere lige nu planlægger det næste store angreb mod selskabet.
To be continued.
Læs også:
Først smadrede hackerne Sony - men nu går Sony i modangreb
Nu rammer regningen Sony: Gigantisk hackerangreb bliver en dyr omgang
Mystikken breder sig efter Sony-hack: Nu trues medarbejderne
Giga-hack mod Sony griber om sig: Sletter alle data hos ofrene
Giga-hack mod Sony: Ny storfilm allerede piratkopieret 500.000 gange