Un adolescent a piraté Uber et l’a annoncé dans la société Slack. Les employés pensaient que c’était une blague.

Les systèmes internes d’Uber semblent avoir été gravement compromis.

Un pirate informatique de 18 ans a pris la responsabilité du piratage d’Uber et les détails ne semblent pas bons pour la société de covoiturage.

Le tweet a peut-être été supprimé

Jeudi soir, Uber a annoncé qu’il avait subi un « incident de cybersécurité » et qu’il travaillait avec les forces de l’ordre sur la question. Un reportage dans le New York Times a détaillé « l’incident » comme une violation de données qui avait mis hors ligne de nombreux systèmes internes d’Uber. Cependant, comme de nombreux autres détails ont été divulgués par les employés d’Uber, nous en savons maintenant beaucoup plus sur ce qui s’est passé.

Alors, comment ça s’est passé ? Un pirate informatique de 18 ans a déployé des techniques d’ingénierie sociale de base ciblant un employé d’Uber. Le pirate a déclaré au New York Times qu’il s’était simplement fait passer pour un informaticien de l’entreprise dans un SMS et avait réussi à convaincre l’employé d’envoyer un mot de passe qui lui donnait accès.

« C’est encore un autre exemple de ce qu’attaque après attaque a montré : l’ingénierie sociale est la manière prédominante dont les entreprises sont victimes de violations, et les adversaires savent que cela fonctionne », a déclaré Josh Yavor, responsable de la sécurité de l’information pour la société de sécurité cloud Tessian, dans une déclaration à Indigo Buzz. « Nous continuons à voir les mêmes tactiques se dérouler quel que soit l’adversaire ou la victime : les adversaires savent que les gens peuvent être trompés pour qu’ils donnent leur mot de passe. »

En plus de la simplicité du piratage, il y a une autre facette incroyable à cette brèche : Uber ne savait pas qu’il avait été piraté jusqu’à ce que le jeune pirate s’annonce sur la chaîne Slack de l’entreprise..

Le tweet a peut-être été supprimé

« Salut @here », a commencé le message du pirate. « J’annonce que je suis un pirate informatique et qu’uber a subi une violation de données. »

Le pirate a procédé à l’exécution de certains des systèmes internes de l’entreprise qui ont été compromis, comme Slack par exemple, et a terminé son message en appelant Uber pour avoir sous-payé ses chauffeurs.

Les employés d’Uber, au début, pensaient que tout cela était une blague.

Sam Curry, ingénieur chez Yuga Labs, la société à l’origine du projet Bored Ape Yacht Club NFT, partagé des informations supplémentaires sur le piratage qu’il dit avoir reçu d’un contact chez Uber.

Selon la source de Curry, l’administrateur de domaine d’Uber, l’administrateur d’Amazon Web Services et GSuite faisaient partie des comptes de l’entreprise qui ont été compromis. Des captures d’écran, prétendument du pirate, se sont rapidement répandues montrant son accès à ces services.

Le tweet a peut-être été supprimé

« Chaque fois que je demande un site Web, je suis redirigé vers une page SUPPRIMÉE avec une image pornographique et le message » F *** you wankers « , a expliqué la source Uber de Curry.

Uber a également rapidement averti ses employés de rester à l’écart de Slack, mais selon le contact de Curry, de nombreuses personnes de l’entreprise ont continué à se reconnecter pour vérifier les réponses de chacun.

Le tweet a peut-être été supprimé

Dans son rapport sur le piratage, The Verge a mis en évidence un fil Twitter du chercheur en sécurité Corben Leo qui a expliqué un peu comment le pirate a pu accéder à tant de systèmes internes. Fondamentalement, une fois que l’employé a envoyé son mot de passe à l’adolescent, le jeune pirate a pu accéder au VPN de l’entreprise, scanner l’intranet et trouver des scripts Powershell contenant des informations d’identification pour plusieurs services.

Le tweet a peut-être été supprimé

« L’accès aux données privées à l’intérieur des VPN doit être difficile et derrière des protections strictes », a expliqué Jack Moore, conseiller mondial en cybersécurité chez la société de cybersécurité ESET, dans une déclaration fournie à Indigo Buzz. « L’utilisation d’un simple SMS comme moyen de pirater leurs systèmes laisse maintenant Uber avec beaucoup de questions sur la quantité de données compromises via une méthode aussi simple. »

Moore a déclaré que l’attaque devrait « souligner une fois de plus l’importance de former le personnel pour qu’il reste vigilant et qu’il ait la capacité de repérer les tentatives de phishing ciblées et de revérifier avant de remettre toute sorte d’informations d’identification ».

Ce n’est pas la première fois qu’Uber est piraté. En 2016, un jeune de 20 ans était responsable d’une faille de sécurité qui a touché 57 millions de clients Uber dans le monde. Cette fois-ci, cependant, Uber affirme que les données sensibles des utilisateurs n’ont pas été compromises.