Hacker Pwns Uber μέσω παραβιασμένου Slack λογαριασμού

Ο γίγαντας Uber πήρε μερικά από αυτά
λειτουργεί εκτός σύνδεσης αργά την Πέμπτη, αφού ανακάλυψε ότι τα εσωτερικά του συστήματα
έχουν παραβιαστεί. Ο επιτιθέμενος μπόρεσε να δημιουργήσει κοινωνικούς μηχανικούς τον δρόμο του σε ένα
ο λογαριασμός Slack του εργαζομένου πριν περιστραφεί βαθύτερα στο δίκτυο, την εταιρεία
είπε.

Ενώ η πλήρης έκταση της παραβίασης έχει ακόμη
για να βγει στο φως, το άτομο που ανέλαβε την ευθύνη για την επίθεση (σύμφωνα με πληροφορίες έφηβος) ισχυρίστηκε ότι είχε θησαυρούς με email,
δεδομένα που έχουν κλαπεί από τον χώρο αποθήκευσης Google Cloud και τον αποκλειστικό πηγαίο κώδικα της Uber,
«απόδειξη» για την οποία έστειλε σε ορισμένους ερευνητές κυβερνοασφάλειας και
μέσα ενημέρωσης, συμπεριλαμβανομένων των New York Times.

«Έχουν σχεδόν πλήρη πρόσβαση
Uber», Sam Curry, μηχανικός ασφαλείας στα Yuga Labs, είπε στους Times. «Αυτός είναι ένας ολοκληρωτικός συμβιβασμός, από ό,τι
μοιάζει."

Συμβιβαστικά Ντόμινο

Η πλατφόρμα συνεργασίας του Slack ήταν η
το πρώτο σύστημα βγήκε εκτός σύνδεσης, αλλά γρήγορα ακολούθησαν και άλλα εσωτερικά συστήματα,
Σύμφωνα με τις εκθέσεις. Λίγο πριν την αναπηρία, ο επιτιθέμενος απέβαλε α
Χαλαρό μήνυμα προς τους υπαλλήλους της Uber (μερικοί από τους Shared
το στο Twitter): «Ανακοινώνω ότι είμαι χάκερ και η Uber υπέστη δεδομένα
αθέτηση."

Ο υπεύθυνος είπε επίσης σε ερευνητές και μέσα ενημέρωσης ότι
η παραβίαση ξεκίνησε με ένα μήνυμα κειμένου σε έναν υπάλληλο της Uber, που υποτίθεται ότι προέρχεται από
εταιρική πληροφορική. Το μήνυμα «τεχνική υποστήριξη» απλώς ζητούσε κωδικό πρόσβασης,
που παρέδωσε ο εργάτης.

«Ενώ δεν έχει δοθεί επίσημη εξήγηση
υπό τον όρο όμως, [προφανώς] ο εισβολέας ήταν
μπορεί να συνδεθεί στο εταιρικό VPN για να αποκτήσει πρόσβαση στο ευρύτερο δίκτυο Uber,
και μετά φαίνεται να έχει σκοντάψει σε χρυσό με τη μορφή αποθηκευμένων διαπιστευτηρίων διαχειριστή
σε απλό κείμενο σε κοινόχρηστο στοιχείο δικτύου», ο Ian McShane, αντιπρόεδρος στρατηγικής
στο Arctic Wolf, ανέφερε σε δήλωση. «Αυτή είναι μια αρκετά χαμηλή μπάρα στην είσοδο
επίθεση και είναι κάτι παρόμοιο με τους επιτιθέμενους που επικεντρώνονται στον καταναλωτή που καλούν τους ανθρώπους
ισχυρίζονται ότι είναι η Microsoft και βάζουν τον τελικό χρήστη να εγκαταστήσει keylogger ή τηλεχειριστήριο
εργαλεία πρόσβασης."

Σε μια δήλωση μέσων ενημέρωσης στους Times, μια Uber
εκπρόσωπος επιβεβαίωσε ότι η κοινωνική μηχανική ήταν το σημείο εισόδου και
είπε απλώς ότι η εταιρεία συνεργαζόταν με τις αρχές επιβολής του νόμου για να διερευνήσει
η παραβίαση. Δημόσια, μέσω Twitter, το εταίρα
δημοσιεύτηκε, «Απαντάμε αυτήν τη στιγμή σε ένα περιστατικό κυβερνοασφάλειας. Εμείς
βρίσκονται σε επαφή με τις αρχές επιβολής του νόμου και θα δημοσιεύουν επιπλέον ενημερώσεις εδώ
γίνει διαθέσιμο."

Σύμφωνα με αναφορές, ο χάκερ είπε ότι είναι
18 ετών και στόχευσε την εταιρεία για να δείξει την αδύναμη ασφάλειά της. εκεί
μπορεί επίσης να είναι ένα στοιχείο hacktivist, επειδή δήλωσε επίσης στο μήνυμα Slack
στους εργαζόμενους ότι οι οδηγοί της Uber θα πρέπει να αμείβονται περισσότερο.

«Δεδομένης της πρόσβασης που ισχυρίζονται ότι έχουν
κέρδισε, εκπλήσσομαι που ο εισβολέας δεν προσπάθησε να πάρει λύτρα ή να εκβιάσει, φαίνεται
σαν να το έκαναν «για το χαμόγελο», πρόσθεσε ο ΜακΣέιν.

Όχι η πρώτη διαδρομή παραβίασης δεδομένων της Uber

Η Uber ήταν το θέμα μιας άλλης μαζικής
παραβίαση, πίσω το 2016. Σε εκείνο το περιστατικό, οι κυβερνοεπιθέσεις ξεκίνησαν με προσωπική
πληροφορίες για 57 εκατομμύρια πελάτες και οδηγούς, που απαιτούν 100,000 δολάρια
ανταλλαγή για μη οπλισμό των δεδομένων (πλήρωσε η εταιρεία). Μεταγενέστερη ποινική έρευνα
οδήγησε σε μη εισαγγελικό συμβιβασμό με το Υπουργείο των ΗΠΑ
Δικαιοσύνη αυτό το καλοκαίρι, η οποία περιελάμβανε την Uber να παραδέχεται ότι κάλυψε ενεργά
την πλήρη έκταση της παραβίασης, η οποία δεν αποκάλυψε καν για περισσότερο από ένα χρόνο.

Σχετίζεται επίσης με αυτό το προηγούμενο χτύπημα, το 2018
Η Uber διευθετήθηκε πανελλαδική πολιτική αγωγή πληρώνοντας 148 εκατομμύρια δολάρια σε όλους
50 πολιτείες και την περιφέρεια της Κολούμπια. και, ειρωνικά δεδομένου του νέου
τις εξελίξεις, συμφώνησε να «εφαρμόσει ένα πρόγραμμα εταιρικής ακεραιότητας,
ειδικές διασφαλίσεις ασφαλείας δεδομένων και αντιμετώπιση περιστατικών και παραβίαση δεδομένων
σχέδια κοινοποίησης, μαζί με διετές αξιολογήσεις».