Hacker Pwns Uber ผ่านบัญชี Slack ที่ถูกบุกรุก

Uber ยักษ์ใหญ่ผู้ให้บริการเรียกรถก็รับเอาบางส่วนไป
ออฟไลน์เมื่อวันพฤหัสบดี หลังจากที่พบว่าระบบภายในของมัน
ได้รับการประนีประนอม ผู้โจมตีสามารถวิศวกรสังคมเพื่อเข้าสู่
บัญชี Slack ของพนักงานก่อนเจาะลึกเครือข่ายบริษัท
กล่าว.

ในขณะที่ขอบเขตของการละเมิดนั้นยังคงอยู่
มาเปิดเผยผู้อ้างความรับผิดชอบในการโจมตี (รายงานว่าเป็นวัยรุ่น) อ้างว่ามีอีเมลจำนวนมาก
ข้อมูลถูกขโมยจากที่เก็บข้อมูล Google Cloud และซอร์สโค้ดที่เป็นกรรมสิทธิ์ของ Uber
“หลักฐาน” ที่เขาส่งไปให้นักวิจัยด้านความปลอดภัยทางไซเบอร์และ
สื่อต่างๆ รวมทั้ง The New York Times

“พวกเขาค่อนข้างเข้าถึง .ได้อย่างเต็มที่
Uber” Sam Curry วิศวกรความปลอดภัยที่ Yuga Labs บอกกับไทม์ส. “นี่คือการประนีประนอมทั้งหมดจากอะไร
ดูเหมือนว่า."

ประนีประนอมโดมิโน

แพลตฟอร์มการทำงานร่วมกันของ Slack คือ
ระบบแรกออฟไลน์ แต่ระบบภายในอื่น ๆ ตามมาอย่างรวดเร็ว
ตามรายงาน ก่อนทุพพลภาพ ผู้โจมตีส่ง
ข้อความหย่อนถึงพนักงาน Uber (บางคน ที่ใช้ร่วมกัน
บนทวิตเตอร์): “ฉันประกาศว่าฉันเป็นแฮ็กเกอร์และ Uber ประสบปัญหาข้อมูล
ละเมิด”

เหยื่อยังบอกกับนักวิจัยและสื่อว่า
การละเมิดเริ่มต้นด้วยข้อความถึงพนักงาน Uber โดยอ้างว่ามาจาก
ไอทีองค์กร ข้อความ "ฝ่ายสนับสนุนด้านเทคนิค" ถามเพียงรหัสผ่าน
ที่คนงานส่งมอบให้

“ในขณะที่ยังไม่มีคำอธิบายอย่างเป็นทางการ
ให้ไว้ [เห็นได้ชัดว่า] ผู้บุกรุกคือ
สามารถเชื่อมต่อกับ VPN ขององค์กรเพื่อเข้าถึงเครือข่าย Uber ที่กว้างขึ้น
แล้วดูเหมือนว่าจะสะดุดกับทองในรูปแบบของข้อมูลประจำตัวผู้ดูแลระบบที่เก็บไว้
ในข้อความธรรมดาบนเครือข่ายที่ใช้ร่วมกัน” Ian McShane รองประธานฝ่ายกลยุทธ์
ที่ Arctic Wolf กล่าวในแถลงการณ์ “นี่เป็นรายการที่ค่อนข้างต่ำถึงรายการ
โจมตีและเป็นสิ่งที่คล้ายกับผู้โจมตีที่เน้นผู้บริโภคเรียกผู้คน
อ้างว่าเป็น Microsoft และให้ผู้ใช้ติดตั้งคีย์ล็อกเกอร์หรือรีโมท
เข้าถึงเครื่องมือ”

ในแถลงการณ์ของสื่อถึง Times, Uber
โฆษกยืนยันว่าวิศวกรรมสังคมเป็นจุดเริ่มต้นและ
พูดง่ายๆ ว่าบริษัทกำลังทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายเพื่อสอบสวน
การละเมิด สาธารณะผ่านทาง Twitter, the บริษัท
โพสต์, “ขณะนี้เรากำลังตอบสนองต่อเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ เรา
กำลังติดต่อกับหน่วยงานบังคับใช้กฎหมายและจะโพสต์ข้อมูลอัปเดตเพิ่มเติมที่นี่ตามที่พวกเขา
พร้อมใช้งาน”

ตามรายงานแฮ็กเกอร์กล่าวว่าเขาคือ
อายุ 18 ปีและตั้งเป้าบริษัทเพื่อแสดงความปลอดภัยที่อ่อนแอ ที่นั่น
อาจเป็นองค์ประกอบ hacktivist เพราะเขาประกาศในข้อความ Slack เช่นกัน
ให้กับพนักงานที่ควรจะจ่ายเงินให้คนขับอูเบอร์มากขึ้น

“ด้วยการเข้าถึงที่พวกเขาอ้างว่ามี
ได้มาแล้ว แปลกใจที่คนร้ายไม่พยายามเรียกค่าไถ่หรือรีดไถ ดูเหมือน
เหมือนที่พวกเขาทำเพื่อ lulz” McShane กล่าวเสริม

ไม่ใช่การละเมิดข้อมูลครั้งแรกของ Uber

Uber เป็นเรื่องใหญ่อีกเรื่องหนึ่ง
การละเมิด ย้อนกลับไปในปี 2016 ในเหตุการณ์นั้นผู้โจมตีทางไซเบอร์ทำเรื่องส่วนตัว
ข้อมูลสำหรับลูกค้าและผู้ขับขี่ 57 ล้านคน ต้องการเงิน 100,000 ดอลลาร์สหรัฐฯ
แลกเปลี่ยนเพื่อไม่เป็นอาวุธของข้อมูล (บริษัทจ่ายเงินแล้ว). การสอบสวนคดีอาญาในภายหลัง
นำไปสู่การ ข้อตกลงไม่ดำเนินคดี กับกระทรวงการต่างประเทศสหรัฐฯ
ความยุติธรรมในฤดูร้อนนี้ซึ่งรวมถึง Uber ที่ยอมรับว่าปกปิดอย่างแข็งขัน
เต็มขอบเขตของการละเมิดซึ่ง มันไม่เปิดเผยมานานกว่าหนึ่งปี.

ยังเกี่ยวข้องกับการตีก่อนหน้านี้ในปี 2018
Uber ตกลง คดีแพ่งทั่วประเทศ โดยจ่าย 148 ล้านเหรียญให้กับทุกคน
50 รัฐและ District of Columbia; และแดกดันให้ใหม่
การพัฒนาก็ตกลงที่จะ "ใช้โปรแกรมความสมบูรณ์ขององค์กร
การป้องกันความปลอดภัยของข้อมูลเฉพาะและการตอบสนองต่อเหตุการณ์และการละเมิดข้อมูล
แผนการแจ้งเตือนพร้อมกับการประเมินทุก ๆ สองปี”