WASHINGTON (AP) — Pada minggu-minggu sebelum peretas membobol Sony Pictures Entertainment, studio tersebut mengalami pemadaman teknologi yang signifikan karena kesalahan perangkat lunak dan staf teknis yang tidak kompeten yang tidak memperhatikan, bahkan ketika peretas menargetkan para eksekutif untuk mengelabui mereka agar mengungkapkan informasi online mereka. kredensial.

Kepala eksekutifnya secara teratur diingatkan melalui email tanpa jaminan tentang kata sandi rahasianya ke rekening surat, bank, perjalanan dan belanja miliknya dan keluarganya, menurut tinjauan terhadap lebih dari 32.000 email perusahaan curian yang ditemukan di internet beredar.

Investigasi terhadap data komputer Sony yang dicuri belum mengungkap secara pasti bagaimana peretas berhasil menyelinap untuk mencuri cache yang begitu besar, kapan hal itu terjadi, siapa dalang di balik pencurian tersebut, atau motif mereka.

Namun pada Rabu malam, seorang pejabat AS mengatakan kepada The Associated Press bahwa penyelidik federal kini telah mengaitkan peretasan Sony dengan Korea Utara. Pejabat tersebut tidak berwenang untuk membahas secara terbuka kasus kriminal yang sedang berlangsung, dan berbicara tanpa menyebut nama.

Konfirmasi mengenai kaitan dengan Korea Utara terjadi tepat setelah Sony membatalkan rencana peluncuran “The Interview” pada 25 Desember, yang merupakan salah satu tuntutan publik para peretas karena film tersebut menggambarkan pembunuhan fiktif terhadap pemimpin Korea Utara. tidak. .

File yang dicuri mengungkap lemahnya praktik keamanan internet di Sony, seperti menempelkan kata sandi ke email, menggunakan kata sandi yang mudah ditebak, dan materi yang tidak terlalu sensitif seperti angka gaji dan pendapatan rahasia, rencana strategis, dan informasi medis tentang beberapa karyawan yang tidak boleh dienkripsi. Para ahli mengatakan praktik serampangan seperti itu biasa terjadi di perusahaan-perusahaan Amerika.

“Kebanyakan orang yang mengatakan mereka tidak berbohong,” kata Jon Callas, salah satu pendiri dan chief technology officer Silent Circle Inc., sebuah layanan komunikasi terenkripsi global.

Email tersebut menunjukkan bahwa CEO Michael Lynton secara teratur menerima salinan kata sandinya dalam email tanpa jaminan untuk rekening pos, bank, perjalanan, dan belanja miliknya dan keluarganya dari asisten eksekutifnya, David Diamond. Email lainnya termasuk fotokopi paspor AS dan SIM serta lampiran laporan bank. File yang dicuri memperjelas bahwa Diamond sangat dipercaya untuk mengingat kata sandi Lynton dan keluarganya dan memberikannya kapan pun diperlukan.

“Saya masih memerlukan kata sandi untuk akun Amazon Anda,” tulis Diamond kepada Lynton pada bulan Agustus.

Juru bicara Sony Jean Guerin tidak menanggapi pesan telepon yang ditinggalkan asistennya di kantornya pada hari Rabu dan email dari The Associated Press.

Dalam email bulan Oktober, kepala keuangan perusahaan, David C. Hendler, mengeluh kepada Lynton bahwa Sony Pictures telah mengalami “pemadaman yang signifikan dan berulang selama berbulan-bulan karena kurangnya kapasitas perangkat keras, ruang disk yang rendah, patch perangkat lunak yang mengganggu stabilitas lingkungan, pemantauan sistem yang buruk dan tim dukungan yang tidak terampil.” Hendler juga menyalahkan aturan perusahaan yang mengharuskan karyawannya menyimpan terlalu banyak email lama.

“Ceroboh, sangat ceroboh,” kata Kevin Mitnick, mantan peretas yang menjalani hukuman lima tahun penjara federal dan sekarang menjalankan Mitnick Security Consulting LLC. Namun Mitnick dengan cepat mengakui bahwa CEO top lainnya “mungkin juga melakukan hal yang sama”. Perusahaan dapat menggunakan perangkat lunak manajemen kata sandi, yang dapat menyimpan lusinan atau ratusan kata sandi terenkripsi untuk banyak akun di balik satu kata sandi yang dilindungi.

“Sangat umum bagi CEO dan asisten eksekutif untuk berbagi informasi rahasia melalui email,” katanya. “Mereka merasa email mereka aman dan tidak ada yang perlu dikhawatirkan.”

Fakta bahwa Lynton secara teratur menerima email yang berisi kata sandinya merupakan masalah khusus bagi Sony, karena peretas yang mencuri data perusahaan sering kali langsung mencari kata “kata sandi” atau variasi kata tersebut di ribuan pesan.

“Jika saya mencoba mendapatkan kredensial, itulah pencarian pertama yang akan saya lakukan,” kata Mitnick, yang dipekerjakan oleh perusahaan untuk menguji keamanan internal mereka.

Email bulan Oktober di dalam Sony, di antara puluhan ribu pesan yang dicuri dalam kejahatan tersebut, menjelaskan peningkatan perangkat lunak dan perangkat keras tertentu dan rencana untuk menyewa perusahaan konsultan luar untuk meningkatkan jaringan perusahaan, ditambah peraturan baru untuk membatasi jumlah email lama yang disimpan di Sony. server. Lynton menerimanya sekitar tiga minggu sebelum karyawannya melaporkan tanda-tanda bahwa peretas sedang menyusup ke dalam jaringan komputer Sony.

___

Penulis Associated Press Eric Tucker berkontribusi pada cerita ini.