Heker Pwns Uber prek ogroženega računa Slack

Gigant za prevoze Uber je vzel nekaj svojega
v četrtek pozno pozno po odkritju, da njeni notranji sistemi deluje brez povezave
so bili ogroženi. Napadalec se je s socialnim inženirjem uspel prebiti v
račun zaposlenega Slack, preden se globlje usmeri v omrežje, podjetje
rekel.

Medtem ko celoten obseg kršitve še ni znan
da pride na dan oseba, ki prevzema odgovornost za napad (domnevno najstnik) je trdil, da ima ogromno e-poštnih sporočil,
podatke, ukradene iz shrambe Google Cloud, in Uberjeve lastniške izvorne kode,
»dokaz«, ki ga je poslal nekaterim raziskovalcem kibernetske varnosti in
medijev, vključno z The New York Times.

»Imajo skoraj popoln dostop do
Uber,« Sam Curry, varnostni inženir pri Yuga Labs, je povedal Times. »To je popoln kompromis, od česa
izgleda."

Kompromisne domine

Platforma za sodelovanje Slack je bila
prvi sistem brez povezave, vendar so mu hitro sledili drugi notranji sistemi,
po poročilih. Tik pred onesposobitvijo je napadalec izgnal a
Slabo sporočilo zaposlenim v Uberju (od katerih nekateri deli
to na Twitterju): »Sporočam, da sem heker in Uber je utrpel podatke
kršitev."

Storilec je to tudi povedal raziskovalcem in medijem
kršitev se je začela z besedilnim sporočilom uslužbencu Uberja, ki naj bi bil od
korporativni IT. Sporočilo »tehnična podpora« je preprosto zahtevalo geslo,
ki ga je delavec izročil.

"Medtem ko uradne razlage ni bilo
pod pogojem, [očitno] je bil vsiljivec
se lahko povežete s korporativnim VPN, da pridobite dostop do širšega omrežja Uber,
nato pa se zdi, da je naletel na zlato v obliki shranjenih skrbniških poverilnic
v navadnem besedilu v omrežnem deležu,« Ian McShane, podpredsednik za strategijo
pri Arctic Wolf, je zapisano v izjavi. »To je precej nizka letvica za vstop
napad in je nekaj podobnega napadalcem, osredotočenim na potrošnike, ki kličejo ljudi
trdi, da je Microsoft in da končni uporabnik namesti keyloggerje ali daljinsko
orodja za dostop."

V izjavi za medije za Times je Uber
tiskovni predstavnik je potrdil, da je socialni inženiring vstopna točka in
preprosto rekel, da podjetje sodeluje z organi pregona pri preiskavi
kršitev. Javno, prek Twitterja, je podjetje
objavljene, »Trenutno se odzivamo na kibernetski varnostni incident. mi
so v stiku z organi pregona in bodo tukaj objavili dodatne posodobitve, ko bodo
postanejo na voljo."

Po poročanju naj bi heker dejal, da je
star 18 let in se je osredotočil na podjetje, da bi dokazal svojo šibko varnost; tam
lahko tudi haktivistični element, ker je tudi izjavil v Slack sporočilu
zaposlenim, da je treba Uberjeve voznike plačati več.

»Glede na dostop, za katerega trdijo, da ga imajo
pridobil, presenečen sem, da napadalec ni poskusil odkupnine ali izsiljevanja, kot je videti
kot da so to storili 'za lulz',« je dodal McShane.

Ni Uberjeva prva vožnja z vdorom podatkov

Uber je bil predmet še enega velikega
kršitev leta 2016. V tem incidentu so kibernetski napadalci pobegnili z osebnimi
informacije za 57 milijonov strank in voznikov, ki zahtevajo 100,000 USD
zamenjava za neuporabo podatkov (podjetje plačalo). Naknadna kriminalistična preiskava
je vodilo do poravnavo brez pregona z ameriškim ministrstvom
Pravosodje to poletje, ki je vključevalo Uber je priznal, da je aktivno prikrival
celotnem obsegu kršitve, ki niti ni razkril več kot eno leto.

Povezano tudi s prejšnjo uspešnico iz leta 2018
Uber poravnan vsedržavni civilni spor tako, da vsem plača 148 milijonov dolarjev
50 držav in okrožje Columbia; in, ironično glede na novo
razvoj dogodkov, se je strinjal, da bo "izvajal program korporativne integritete,
posebni zaščitni ukrepi za varnost podatkov ter odziv na incidente in kršitev podatkov
načrte obveščanja, skupaj z dvoletnimi ocenami.«