Uber descubrió que su red informática se había visto comprometida el jueves, lo que llevó a la empresa a cerrar varios de sus sistemas e ingeniería de comunicaciones internas mientras investiga el alcance de la violación.
El hackeo parece haber dañado varios sistemas internos de Uber, y alguien que se atribuyó la responsabilidad del hackeo envió imágenes de correos electrónicos, almacenamiento en la nube y repositorios de códigos a los investigadores de seguridad cibernética y al New York Times.
«Tienen acceso total a Uber», dijo Sam Curry, ingeniero de seguridad de Yuga Labs, quien habló con la persona que se atribuyó la responsabilidad de la violación. «Eso es un compromiso completo, por lo que parece».
Un portavoz de Uber dijo que la compañía está investigando la violación y contactando a los funcionarios encargados de hacer cumplir la ley.
Dos empleados que no estaban autorizados a hablar públicamente dijeron que los empleados de Uber recibieron instrucciones de no usar el servicio de mensajería interna de la empresa, Slack, y descubrieron que otros sistemas internos eran inaccesibles.
Poco antes de que Slack cerrara el jueves por la tarde, los empleados de Uber recibieron un mensaje que decía: «Anuncio que soy un hacker y que Uber ha tenido una violación de datos». El mensaje pasó a enumerar varias bases de datos internas que, según el hacker, habían sido comprometidas.
Un portavoz de Uber dijo que el pirata informático pirateó la cuenta de un trabajador de Slack y la usó para enviar el mensaje. Parece que el hacker luego obtuvo acceso a otros sistemas internos, publicando una foto escandalosa en la página de información interna de un empleado.
La persona que se atribuyó la responsabilidad del ataque le dijo al New York Times que envió un mensaje de texto a un empleado de Uber que decía ser un empleado de TI en la empresa. Se persuadió al trabajador para que entregara una contraseña que le permitiría al hacker acceder a los sistemas de Uber, una técnica conocida como ingeniería social.
“Este tipo de ataques de ingeniería social están aumentando para afianzarse en las empresas de tecnología”, dijo Rachel Tobak, directora ejecutiva de SocialProof Security. La Sra. Tupac se refirió al hackeo de Twitter de 2020, en el que Los adolescentes utilizaron la ingeniería social para irrumpir en la empresa. similar tecnicas de ingenieria social Se ha utilizado en infracciones recientes en Microsoft y Okta.
“Vemos que los atacantes se están volviendo más inteligentes y también están documentando lo que funciona”, dijo la Sra. Tupac. «Ahora tienen grupos que facilitan la difusión y el uso de estas tácticas de ingeniería social. Se ha convertido casi en un producto básico».
El hacker, que proporcionó capturas de pantalla de los sistemas internos de Uber para probar su acceso, dijo que tenía 18 años y que había estado trabajando en sus habilidades de ciberseguridad durante varios años. Dijo que pirateó los sistemas de Uber porque la seguridad de la empresa era deficiente. En el mensaje de Slack que anuncia la infracción, la persona también dijo que los conductores de Uber deberían recibir salarios más altos.
Carey dijo que la persona parecía tener acceso al código fuente, correo electrónico y otros sistemas internos de Uber. «Parece que podría ser este niño que se metió en Uber y no sabe qué hacer con él, y tiene mucho tiempo en su vida», dijo.
En un correo electrónico interno visto por The New York Times, un ejecutivo de Uber les dijo a los empleados que el ataque estaba bajo investigación. «No tenemos una estimación en este momento de cuándo se restablecerá el acceso completo a las herramientas, así que gracias por su paciencia», escribió Latha Maribury, directora de seguridad de la información de Uber.
Esta no es la primera vez que un hacker roba datos de Uber. En 2016, los piratas informáticos robaron información de 57 millones de cuentas de conductores y pasajeros, luego contactaron a Uber y estudiante de $100,000 para eliminar su copia de los datos. Uber arregló el pago pero mantuvo la violación en secreto durante más de un año.
Joe Sullivan, quien era el director de seguridad de Uber en ese momento, fue despedido por su papel en la respuesta de la compañía al ataque. El Sr. Sullivan ha sido acusado de obstrucción de la justicia por no revelar la infracción a los reguladores y ahora está siendo juzgado.
Los abogados del Sr. Sullivan Argumentaron que otros empleados eran responsables de las divulgaciones reglamentarias y dijeron que la empresa había convertido a Sullivan en un chivo expiatorio.
«Zombieaholic. Nerd general de Twitter. Analista. Gurú aficionado de la cultura pop. Fanático de la música».
