# Piratage de Sony Pictures Entertainment

En novembre 2014, la société américaine Sony Pictures Entertainment, filiale du groupe japonais Sony, est victime d'un piratage massif de ses données. Cette attaque informatique est l'une des plus importantes jamais subies par une entreprise aux États-Unis, qui accusent la Corée du Nord d'en être responsable.

## Contexte

Sony Pictures Entertainment (SPE) est une société américaine de la Sony Corporation of America, elle-même filiale du géant japonais de l'électronique grand public Sony. D'octobre à décembre 2013, elle a tourné le film L'Interview qui tue !, qui devait être diffusé le 25 décembre 2014.

## Historique

Le lundi 24 novembre 2014, en allumant leurs ordinateurs, les employés de Sony Pictures Entertainment ont vu apparaître sur leurs ordinateurs une image de squelette, accompagnée d'un message de chantage. Les pirates, sous le nom de Guardian of Peace, menaçaient de commencer à dévoiler des informations sensibles le soir même si l'entreprise n'accédait pas à leurs requêtes : « Nous avons obtenu toutes vos données internes incluant des secrets. Si vous n'obéissez pas, nous publierons ces données. Vous avez jusqu'au 24 novembre à 23 h pour décider ».
Le 27 novembre 2014, cinq films dont Annie, Mr. Turner, Still Alice, To Write Love on Her Arms (Day One (film, 2012) (en)) et Fury, distribués par la société font leur apparition sur des sites pirates. Hormis le dernier, les 4 titres piratés devaient sortir en salle dans les mois prochains.

## Auteurs

Depuis le 24 novembre, le piratage est attribué à un groupe se faisant appeler #GOP, un acronyme pour « Guardian of Peace ». Cet acronyme se retrouve en signature des messages revendiquant le piratage et accompagnant la publication des données sur les sites de téléchargement.
Le 1er décembre 2014, l'un des pirates déclarait au site d'information CSO : « Nous sommes une organisation internationale, qui inclut des célébrités issues des milieux politiques et de plusieurs pays comme les États-Unis, la Grande-Bretagne et la France. Nous ne sommes pas contrôlés par un État. Notre cible n'est pas le film 'The Interview', comme le laisse entendre Sony Pictures ». Le journal Le Monde précise que les messages des pirates s'accompagnent de revendications d'ordre financier (« nous voulons une compensation monétaire »), détaillant la volonté de causer la faillite de Sony Pictures et sa « cupidité », ou encore la « dangerosité » du film The Interview, de nature à « mettre fin à la paix régionale et causer une guerre ».
Le 19 décembre 2014, le Federal Bureau of Investigation a assuré avoir « récolté suffisamment d'information pour conclure que le gouvernement nord-coréen est responsable de ces actions », et évoque des « similarités dans les lignes de code, les algorithmes de chiffrement de données, les méthodes pour supprimer des données et compromettre les réseaux informatiques » et que « des analyses techniques sur le logiciel malveillant utilisé lors de l'attaque révèlent des liens avec d'autres logiciels, dont le FBI sait qu'ils ont été développés par des acteurs nord-coréens »$^,$.
Un porte-parole du Département politique de la Commission de défense nationale de la république populaire démocratique de Corée a rejeté en bloc les accusations américaines et a demandé aux États-Unis d’accepter de mener une enquête conjointe, sous peine de « lourdes conséquences »$^,$.

## Vecteurs d'intrusion

Le 19 décembre 2014, le centre américain d'alerte et de réaction aux attaques informatiques (US-CERT) a publié une alerte sur son site détaillant le malware très probablement utilisé par les attaquants$^,$. Le maliciel serait un ver informatique équipé de 5 composants : un implant d'écoute, une backdoor, un proxy, un outil de destruction massif de disque dur et un outil de nettoyage ciblé$^,$.

## Conséquences
### Financières

La diffusion sur des sites de téléchargement des 4 titres (Annie, Mr. Turner, Still Alice, To Write Love on Her Arms) pourrait représenter un manque à gagner important pour Sony Pictures Entertainment. Selon le site boxoffice.com, l'adaptation d'Annie, co-produit par Jay-Z et Will Smith, devait générer jusqu'à 100 millions de dollars de revenus.
Le 18 décembre 2014, SPE annonce qu'elle renonçait à commercialiser le film The Interview, devant le nombre important de chaînes de cinémas annulant leurs projections du film, SPE décide de ne pas sortir le film en salle à la suite des menaces des pirates$^,$, ce qui équivaut à la perte d'un investissement de 80 millions de dollars (65 millions d’euros), dont le budget de production s’élève à 44 millions de dollars et la campagne de promotion avait déjà coûté environ 35 millions. À la suite de cette annonce, le président américain Barack Obama, avait regretté que le studio se soit laissé « intimider » par les menaces des pirates et « a fait une erreur » en annulant la sortie du film, peu après que le FBI eut pointé la main du régime nord-coréen dans les actes de piratage dont Sony a été victime$^,$. SPE a finalement autorisé la sortie dans quelques salles américaines pour le jour de Noël et en VOD aux États-Unis dès le 24 décembre 2014. Sorti le 25 décembre dans 330 cinémas indépendants américains, le film a également été piraté par plus de 900 000 internautes en 24 heures.

### Diffusion de données confidentielles

Les pirates affirment avoir pris plus de 100 téraoctets de données à SPE$^,$, soit l'équivalent de plus de 10 000 films sur DVD. Cependant, fin décembre 2014, seule une petite partie de ces informations a été divulguée sur des sites internet comme The Pirate Bay, Github ou Pastebin.
Selon une lettre d'information datée du 8 décembre 2014 envoyée par Sony Pictures Entertainment à ses employés, l'entreprise indique avoir eu connaissance le 1er décembre 2014, que des données personnelles sur les employés et leurs personnes à charge peuvent avoir été obtenues par des personnes non autorisées à la suite d'une cyberattaque. SPE a énuméré les types d'informations qui peuvent avoir été obtenus : « (i) nom, (ii) adresse, (iii) numéro de sécurité sociale, numéro de permis de conduire, numéro de passeport, et/ou tout autre identifiant national, (iv) numéro de compte bancaire (v) informations de carte de crédit pour les voyages professionnels et les dépenses afférentes, (vi) nom d'utilisateur et mots de passe, (vii) rémunération et (viii) d'autres informations liées à l'emploi. De plus, des personnes non autorisées peuvent avoir obtenu (ix) des données médicales HIPAA comme les demandes d'indemnisation et (x) d'autres informations médicales. »
Le 16 avril 2015, le site d'information Wikileaks a mis en ligne 30 287 documents ainsi que 173 132 courriels envoyés ou reçus par des employés du groupe, sur un site internet intitulé "The Sony Archives" qui vise à faciliter aux observateurs le travail d'analyse des documents dérobés$^,$. Wikileaks justifie la publication de ces données dans un communiqué en indiquant que ces données fournissent « un aperçu rare du fonctionnement d'une firme multinationale et secrète ».