La société de covoiturage Uber a été piratée. Le service a ensuite mis hors ligne son service d’information interne Slack et ses systèmes techniques.

Uber enquête actuellement sur un incident de cybersécurité. Une déclaration officielle de la société sur Twitter fournit des informations à ce sujet. Ça dit: « Nous répondons actuellement à un incident de cybersécurité. Nous sommes en contact avec les forces de l’ordre et publierons d’autres mises à jour ici dès qu’elles seront disponibles.

Le piratage a apparemment eu lieu jeudi après-midi. Comme le rapporte le New York Times, un hacker de 18 ans a revendiqué le piratage. Il aurait fourni des preuves sous la forme de captures d’écran internes du système Uber et expliqué comment il avait utilisé une technique d’ingénierie sociale pour réussir le piratage.

Un message Slack révèle une attaque de piratage

Selon le New York Times, le pirate a envoyé un texto à un employé d’Uber. Dans ce document, il se faisait passer pour le personnel informatique de l’entreprise. L’employé est tombé dans le piège et a donné au supposé employé informatique un mot de passe, qu’il pourrait ensuite utiliser pour accéder aux systèmes d’Uber. Apparemment, le mot de passe donnait également accès au compte Slack de l’employé. Le pirate s’en est servi pour envoyer un message aux employés d’Uber. Il y annonçait que l’entreprise avait subi une violation de données. Le pirate semble plus tard avoir réussi à accéder à d’autres systèmes internes. Il a également publié une photo pornographique sur une page d’information interne destinée aux employés.

Le pirate a révélé qu’il avait 18 ans. Il travaille depuis plusieurs années sur ses compétences en cybersécurité. Il a annoncé que le piratage était possible en raison de la faible sécurité de l’entreprise. Dans le message Slack annonçant le cambriolage, l’attaquant a également déclaré que les chauffeurs Uber devraient être mieux payés.

Uber complètement compromis ?

Le pirate prétend avoir complètement compromis Uber. Sam Curry, responsable de la sécurité informatique chez Yuga Labs, la société à l’origine de la série NFT du Bored Ape Yacht Club, l’a confirmé. Il était en contact avec le hacker et a assuré :

« Vous avez à peu près un accès complet à Uber. À première vue, c’est un compromis total. »

Bleeping Computer a pointé des captures d’écran montrant l’accès du pirate « systèmes Uber-IT critiques » Prendre. sous « Logiciel de sécurité et domaine Windows d’entreprise ». De plus, le pirate aurait « Accès à la console Amazon Web Services de l’entreprise, à VMware ESXi d’Uber et au tableau de bord d’administration de messagerie Google Workspace » fourni. Il a ensuite eu un accès supplémentaire audit serveur Slack.

Le pirate informatique semble également avoir obtenu des droits d’accès au programme de primes de bogues HackerOne de la société. Sam Curry a noté que l’attaquant avait commenté tous les tickets de prime de bogue de l’entreprise. Il aurait également téléchargé des rapports de vulnérabilité d’Uber. Le PDG de HackerOne, Marten Mickos, a déclaré que le compte Uber avait été suspendu et que la société travaillait avec Uber pour aider à l’enquête.

Le New York Times fait référence à un e-mail interne. Latha Maripuri, responsable de la sécurité de l’information chez Uber, a déclaré :

« Nous n’avons actuellement aucune estimation du moment où l’accès complet aux outils sera rétabli »

Jake Moore, conseiller mondial en cybersécurité chez ESET, commente le piratage :

« Cette attaque a conduit Uber à divulguer une quantité importante de données susceptibles d’inclure des informations personnelles sur les clients et les chauffeurs. Cela semble être l’œuvre d’une habile attaque d’ingénierie sociale. L’accès aux données privées au sein des VPN doit être difficile et derrière de solides protections. Cela soulève de nombreuses questions chez Uber sur la quantité de données compromises par une méthode aussi simple.

Sam Curry ajoute :

« On dirait que c’est un gamin qui est monté sur Uber et ne sait pas quoi en faire et passe le meilleur moment de sa vie »

Après tout, Uber a confirmé l’incident actuel. En 2016, l’entreprise a tenté de dissimuler une violation de données dont elle avait été victime. Ils ont ensuite payé 100 000 $ au pirate informatique pour supprimer les informations volées.