Un pirate informatique prétend avoir violé Uber : chercheur
Uber a déclaré jeudi qu’elle avait contacté les forces de l’ordre après qu’un pirate informatique ait apparemment pénétré dans son réseau. Un ingénieur en sécurité a déclaré que l’intrus a fourni des preuves de l’obtention d’un accès à des systèmes cruciaux pour le service de transport de personnes.
Rien n’indique que la flotte de véhicules d’Uber ou ses opérations aient été affectées de quelque manière que ce soit.
« Il semble qu’ils aient compromis beaucoup de choses », a déclaré Sam Curry, un ingénieur de Yuga Labs qui a communiqué avec le pirate. Cela inclut l’accès complet aux environnements cloud hébergés par Amazon et Google, où Uber stocke son code source et ses données clients, a-t-il ajouté.
Curry a dit qu’il a parlé à plusieurs employés d’Uber qui ont dit qu’ils « travaillaient à tout verrouiller en interne » pour restreindre l’accès du pirate. Cela inclut le réseau de messagerie interne Slack de la société de San Francisco, a-t-il dit.
Il a ajouté que rien n’indiquait que le pirate avait fait des dégâts ou qu’il était intéressé par autre chose que la publicité. « Mon intuition est qu’il semble qu’ils cherchent à obtenir autant d’attention que possible ».
Le pirate avait alerté Curry et d’autres chercheurs en sécurité de l’intrusion jeudi soir en utilisant un compte interne d’Uber pour commenter les vulnérabilités qu’ils avaient précédemment identifiées sur le réseau de la société par le biais de son programme de primes aux bugs, qui paie des pirates éthiques pour dénicher les faiblesses du réseau.
Le pirate a fourni une adresse de compte Telegram et Curry et d’autres chercheurs l’ont alors engagé dans une conversation séparée, partageant des captures d’écran de diverses pages des fournisseurs de cloud d’Uber pour prouver qu’ils sont entrés par effraction.
L’Associated Press a tenté de contacter le hacker sur le compte Telegram où Curry et les autres chercheurs ont discuté avec eux. Mais personne n’a répondu.
Le New York Times rapporte que la personne qui a revendiqué le piratage a déclaré avoir obtenu l’accès par ingénierie sociale : Ils ont envoyé un SMS à un employé d’Uber en prétendant être un employé technique de la société et ont persuadé l’employé de leur donner un mot de passe qui leur donnait accès au réseau.
Le Times précise que le pirate a déclaré avoir 18 ans et qu’il s’est introduit dans le système parce que la sécurité de l’entreprise était faible.
Une capture d’écran publiée sur Twitter et confirmée par les chercheurs montre une discussion avec le pirate dans laquelle il dit avoir obtenu les informations d’identification d’un utilisateur administratif par ingénierie sociale.
L’ingénierie sociale est une stratégie de piratage populaire, car les humains ont tendance à être le maillon le plus faible de tout réseau. Des adolescents ont utilisé un stratagème similaire en 2020 pour pirater Twitter.
Uber a déclaré par courriel qu’elle « répondait actuellement à un incident de cybersécurité. Nous sommes en contact avec les forces de l’ordre ». Il a ajouté qu’il fournirait des mises à jour sur son fil Twitter Uber Comms.
L’entreprise a déjà été piratée auparavant.
Son ancien chef de la sécurité, Joseph Sullivan, est actuellement en procès pour des allégations selon lesquelles il a organisé le paiement de 100 000 dollars à des pirates informatiques pour couvrir un hold-up high-tech de 2016 au cours duquel les informations personnelles d’environ 57 millions de clients et de conducteurs ont été volées.