Uber está investigando uma violação em seus sistemas de computador

A Uber descobriu que sua rede de computadores havia sido comprometida na quinta-feira, levando a empresa a encerrar vários de seus sistemas de comunicação interna e engenharia enquanto investiga a extensão da violação.

O hack parece ter danificado vários sistemas internos da Uber, e alguém que assumiu a responsabilidade pelo hack enviou imagens de e-mail, armazenamento em nuvem e repositórios de código para pesquisadores de segurança cibernética e para o New York Times.

“Eles têm acesso total ao Uber”, disse Sam Curry, engenheiro de segurança do Yuga Labs que conversou com a pessoa que reivindicou a responsabilidade pela violação. “Isso é um compromisso completo, pelo que parece.”

Um porta-voz da Uber disse que a empresa está investigando a violação e entrando em contato com as autoridades policiais.

Dois funcionários que não estavam autorizados a falar publicamente disseram que os funcionários da Uber foram instruídos a não usar o serviço interno de mensagens da empresa, o Slack, e descobriram que outros sistemas internos estavam inacessíveis.

Pouco antes de o Slack ser encerrado na tarde de quinta-feira, os funcionários do Uber receberam uma mensagem que dizia: “Anuncio que sou um hacker e que o Uber sofreu uma violação de dados”. A mensagem passou a listar vários bancos de dados internos que o hacker alegou terem sido comprometidos.

Um porta-voz do Uber disse que o hacker invadiu uma conta de funcionário do Slack e a usou para enviar a mensagem. Parece que o hacker mais tarde obteve acesso a outros sistemas internos, postando uma foto escandalosa na página de informações internas de um funcionário.

A pessoa que assumiu a responsabilidade pelo hack disse ao New York Times que enviou uma mensagem de texto para um funcionário do Uber alegando ser um funcionário de TI da empresa. O trabalhador foi persuadido a entregar uma senha que permitiria ao hacker ter acesso aos sistemas do Uber, uma técnica conhecida como engenharia social.

“Esses tipos de ataques de engenharia social estão aumentando para ganhar espaço nas empresas de tecnologia”, disse Rachel Tobak, CEO da SocialProof Security. A Sra. Tupac se referiu ao hack do Twitter de 2020, no qual Adolescentes usaram engenharia social para invadir a empresa. semelhante técnicas de engenharia social Ele foi usado em violações recentes na Microsoft e na Okta.

“Estamos vendo que os invasores estão ficando mais espertos e também estão documentando o que está funcionando”, disse a Sra. Tupac. “Eles têm grupos agora que facilitam a disseminação e o uso dessas táticas de engenharia social. Tornou-se quase comoditizado.”

O hacker, que forneceu capturas de tela dos sistemas internos do Uber para provar seu acesso, disse que tinha 18 anos e trabalhava em suas habilidades de segurança cibernética há vários anos. Ele disse que invadiu os sistemas do Uber porque a segurança da empresa era ruim. Na mensagem do Slack anunciando a violação, a pessoa também disse que os motoristas do Uber deveriam receber salários mais altos.

Carey disse que a pessoa parecia ter acesso ao código-fonte, e-mail e outros sistemas internos do Uber. “Parece que eles podem ser esse garoto que entrou no Uber e não sabe o que fazer com isso, e tem muito tempo em sua vida”, disse ele.

Em um e-mail interno visto pelo The New York Times, um executivo do Uber disse aos funcionários que o hack estava sob investigação. “Não temos uma estimativa neste momento de quando o acesso total às ferramentas será restaurado, então obrigado por nos acompanhar”, escreveu Latha Maribury, diretora de segurança da informação da Uber.

Esta não é a primeira vez que um hacker rouba dados do Uber. Em 2016, hackers roubaram informações de 57 milhões de contas de motoristas e passageiros, depois contataram a Uber e estudante $ 100.000 para excluir sua cópia dos dados. A Uber organizou o pagamento, mas manteve a violação em segredo por mais de um ano.

Joe Sullivan, que era o diretor de segurança da Uber na época, foi demitido por seu papel na resposta da empresa ao hack. O Sr. Sullivan foi acusado de obstrução da justiça por não divulgar a violação aos reguladores e agora está sendo julgado.

Os advogados do Sr. Sullivan Eles argumentaram que outros funcionários eram responsáveis ​​pelas divulgações regulatórias e disseram que a empresa fez de Sullivan um bode expiatório.