Un pirate pirate Uber via un compte Slack compromis

Le géant du covoiturage Uber a pris une partie de son
opérations hors ligne jeudi soir après avoir découvert que ses systèmes internes
ont été compromis. L'agresseur a réussi à se frayer un chemin par ingénierie sociale dans un
compte Slack de l'employé avant de pivoter plus profondément dans le réseau, l'entreprise
.

Alors que toute l'étendue de la violation n'a pas encore été
révélée, la personne revendiquant l'attentat (apparemment un adolescent) a prétendu avoir des trésors d'e-mails,
les données volées sur le stockage Google Cloud et le code source propriétaire d'Uber,
«preuve» dont il a envoyé à certains chercheurs en cybersécurité et
médias, dont le New York Times.

"Ils ont à peu près un accès complet à
Uber », Sam Curry, ingénieur en sécurité chez Yuga Labs, dit au Times. "C'est un compromis total, d'où
On dirait."

Dominos de compromis

La plateforme de collaboration Slack était la
premier système mis hors ligne, mais d'autres systèmes internes ont rapidement suivi,
selon les rapports. Juste avant la désactivation, l'agresseur a envoyé un
Message Slack aux employés d'Uber (dont certains commun
ça sur Twitter) : « J'annonce que je suis un hacker et qu'Uber a subi un data
violation."

Le coupable a également déclaré aux chercheurs et aux médias que
la violation a commencé par un message texte à un employé d'Uber, prétendant provenir de
informatique d'entreprise. Le message "support technique" demandait simplement un mot de passe,
que le travailleur a remis.

"Bien qu'aucune explication officielle n'ait été
à condition que, [apparemment] l'intrus était
capable de se connecter au VPN de l'entreprise pour accéder au réseau Uber plus large,
puis semble être tombé sur de l'or sous la forme d'informations d'identification d'administrateur stockées
en texte brut sur un partage réseau », Ian McShane, vice-président de la stratégie
chez Arctic Wolf, a déclaré dans un communiqué. "C'est une barre d'entrée assez basse
attaque et s'apparente aux attaquants axés sur le consommateur qui appellent les gens
prétendant être Microsoft et demandant à l'utilisateur final d'installer des enregistreurs de frappe ou à distance
accéder aux outils.

Dans une déclaration aux médias au Times, un Uber
porte-parole a confirmé que l'ingénierie sociale était le point d'entrée, et
a simplement dit que l'entreprise travaillait avec les forces de l'ordre pour enquêter
la violation. Publiquement, via Twitter, le Société
posté, « Nous répondons actuellement à un incident de cybersécurité. Nous
sont en contact avec les forces de l'ordre et publieront des mises à jour supplémentaires ici au fur et à mesure qu'elles
devenir disponible."

Selon les rapports, le pirate a dit qu'il est
18 ans et ciblé l'entreprise pour démontrer sa faible sécurité ; là
peut aussi être un élément hacktiviste, car il a également déclaré dans le message Slack
aux employés que les chauffeurs Uber devraient être mieux payés.

"Compte tenu de l'accès qu'ils prétendent avoir
gagné, je suis surpris que l'agresseur n'ait pas tenté de rançonner ou d'extorquer, il semble
comme ils l'ont fait "pour le lulz" », a ajouté McShane.

Ce n'est pas le premier vol de violation de données d'Uber

Uber a fait l'objet d'un autre énorme
violation, en 2016. Lors de cet incident, les cyberattaquants se sont enfuis avec des
informations pour 57 millions de clients et conducteurs, exigeant 100,000 XNUMX $ en
échange pour ne pas militariser les données (la société a payé). Une enquête criminelle ultérieure
conduit à un règlement sans poursuites avec le département américain de
La justice cet été, qui comprenait Uber admettant qu'il avait activement dissimulé
toute l'étendue de la violation, qui il n'a même pas été révélé pendant plus d'un an.

Également lié à ce coup précédent, en 2018
Uber s'est installé contentieux civil national en versant 148 millions de dollars à tous
50 États et le District de Columbia ; et, ironiquement étant donné le nouveau
développements, il a convenu de «mettre en œuvre un programme d'intégrité d'entreprise,
des mesures spécifiques de sécurité des données, ainsi que la réponse aux incidents et les violations de données
des plans de notification, ainsi que des évaluations biennales.