Pirata informático usurpa a Uber a través de una cuenta de Slack comprometida

El gigante de los viajes compartidos Uber tomó parte de su
operaciones fuera de línea el jueves por la noche después de que descubrió que sus sistemas internos
han sido comprometidos. El atacante fue capaz de hacer ingeniería social para entrar en un
cuenta de Slack del empleado antes de profundizar en la red, la empresa
dijo.

Si bien el alcance total de la violación aún no se ha
salir a la luz, la persona que se atribuye la responsabilidad del ataque (supuestamente un adolescente) afirmó tener montones de correos electrónicos,
datos robados del almacenamiento de Google Cloud y el código fuente propietario de Uber,
"prueba" de la cual envió a algunos investigadores de ciberseguridad y
medios de comunicación, incluido The New York Times.

“Ellos prácticamente tienen acceso completo a
Uber”, Sam Curry, ingeniero de seguridad de Yuga Labs, le dijo al Times. “Este es un compromiso total, por lo que
parece que."

Compromiso de dominó

La plataforma de colaboración Slack fue la
primer sistema fuera de línea, pero otros sistemas internos lo siguieron rápidamente,
según informes. Justo antes de la desactivación, el atacante envió un
Mensaje de Slack a los empleados de Uber (algunos de los cuales compartido
en twitter): “Anuncio que soy un hacker y Uber ha sufrido un robo de datos
incumplimiento."

El perpetrador también les dijo a los investigadores y a los medios que
la violación comenzó con un mensaje de texto a un empleado de Uber, que pretendía ser de
TI corporativa. El mensaje de "soporte técnico" simplemente pedía una contraseña,
que entregó el trabajador.

“Aunque no se ha dado ninguna explicación oficial
siempre y cuando, [aparentemente] el intruso fue
capaz de conectarse a la VPN corporativa para obtener acceso a la red Uber más amplia,
y luego parece haber tropezado con oro en forma de credenciales de administrador almacenadas
en texto sin formato en un recurso compartido de red”, Ian McShane, vicepresidente de estrategia
en Arctic Wolf, dijo en un comunicado. “Esta es una barra de entrada bastante baja
ataque y es algo parecido a los atacantes centrados en el consumidor que llaman a la gente
afirmando ser Microsoft y haciendo que el usuario final instale keyloggers o control remoto
herramientas de acceso.”

En un comunicado de prensa al Times, un Uber
El portavoz confirmó que la ingeniería social era el punto de entrada, y
simplemente dijo que la compañía estaba trabajando con la policía para investigar
el incumplimiento. Públicamente, a través de Twitter, el compañía
publicado, “Actualmente estamos respondiendo a un incidente de ciberseguridad. Nosotros
están en contacto con la policía y publicarán actualizaciones adicionales aquí a medida que
volverse disponible."

Según los informes, el hacker dijo que está
18 años y apuntó a la empresa para demostrar su débil seguridad; allá
también puede ser un elemento hacktivista, porque también declaró en el mensaje de Slack
a los empleados que a los conductores de Uber se les debería pagar más.

“Dado el acceso que afirman tener
ganado, me sorprende que el atacante no intentara pedir un rescate o extorsionar, parece
como si lo hicieran 'por los lulz'”, agregó McShane.

No es el primer viaje con violación de datos de Uber

Uber fue objeto de otra masiva
incumplimiento, en 2016. En ese incidente, los atacantes cibernéticos se llevaron
información para 57 millones de clientes y conductores, demandando $100,000 en
a cambio de no armar los datos (la empresa pagó). Una investigación criminal posterior
llevado a un acuerdo sin enjuiciamiento con el Departamento de EE.UU.
Justicia este verano, que incluyó a Uber admitiendo que encubrió activamente
el alcance total de la infracción, que ni siquiera se reveló durante más de un año.

También relacionado con ese golpe anterior, en 2018.
Uber se instaló litigios civiles a nivel nacional pagando $148 millones a todos
50 estados y el Distrito de Columbia; e, irónicamente, dada la nueva
desarrollos, acordó “implementar un programa de integridad corporativa,
salvaguardas específicas de seguridad de datos, y respuesta a incidentes y violación de datos
planes de notificación, junto con evaluaciones bienales”.