Le piratage d’Uber est l’histoire scandaleuse d’un adolescent piratant pour le plaisir
Uber a subi une grave violation de son système au début du mois, permettant au mauvais acteur de faire toutes sortes de ravages – du spam des chats Slack des employés avec des images explicites à la dégradation des sites Web internes et au vol de médias sensibles. La société de covoiturage a maintenant publié une déclaration mise à jour, rejetant la faute sur le tristement célèbre groupe de piratage Lapsus $.
L'attaque et l'annonce qui a suivi ont été si effrontées que certains employés l'ont pris comme une blague de la part d'un de leurs collègues et ont répondu au message du pirate avec des emojis légers. Le pirate a révélé au New York Times qu'il était une personne de 18 ans. Pour frotter davantage les plaies d'Uber, le cybercriminel a déclaré au Washington Post qu'il avait piraté les systèmes de l'entreprise pour le plaisir et qu'il pourrait divulguer le code source dans les mois à venir.
Publiez où le leaker se lie directement au piratage d'Uber. J'ai supprimé toutes les captures d'écran de l'accès au système (que vous avez peut-être remarqué lors d'incidents plus tôt cette année). pic.twitter.com/gvmkcsy5OL
— Kévin Beaumont (@GossiTheDog) 18 septembre 2022
Le pirate en question, qui s'appelle "teapotuberhacker", serait également le cerveau derrière la fuite massive de GTA 6 qui est apparue il y a quelques jours et a secoué toute l'industrie du jeu vidéo. Le pirate prétend avoir volé du matériel sensible comme les codes source des jeux des systèmes de Rockstar, mais dans le cas d'Uber, la société affirme que rien d'une telle ampleur ne s'est produit.
Fait intéressant, les jeunes pirates semblent avoir une affinité particulière pour cibler Uber . En 2017, un Floridien de 20 ans aurait volé des données personnelles appartenant à 57 millions d'utilisateurs d'Uber, mais l'entreprise s'est assise sur la brèche et ne l'a divulguée qu'un an plus tard.
Lapsus$, ou juste des ados qui font l'enfer ?
Uber dit qu'il est actuellement en contact avec le FBI et le ministère américain de la Justice pour gérer la situation à l'avenir. Fait intéressant, le FBI a récemment publié une déclaration demandant l'aide du public afin d'attraper les membres du groupe notoire. Le plaidoyer est intervenu à la suite de failles de sécurité très médiatisées ciblant des titans technologiques américains comme T-Mobile, Microsoft et Nvidia, entre autres.
On pense que les membres du groupe comprennent un groupe sain d'adolescents, selon les experts cités dans un rapport publié par le Washington Post . Selon un rapport de la BBC , un duo de 16 et 17 ans a été inculpé à la suite d'une enquête internationale sur des incidents de cybercriminalité. Auparavant, le département de police de Londres avait arrêté sept fauteurs de troubles âgés de 16 à 21 ans pour des cybercrimes similaires adjacents à Lapsus.
Selon un rapport de Bloomberg , le jeune de 16 ans aurait été le cerveau des activités du groupe Lapsus$, et bien qu'il vive dans l'appartement de sa mère, il a réussi à amasser une fortune d'environ 14 millions de dollars. Dans le passé, le gang a également ciblé Samsung, EA, Ubisoft, Vodafone et Okta, entre autres noms reconnaissables.
Le groupe a attiré une large attention internationale après avoir volé les dossiers de vaccination COVID-19 de millions de citoyens dans les systèmes du ministère brésilien de la Santé. En plus de voler des données sensibles, le groupe a été impliqué dans le cyber-vandalisme et la dégradation de sites Web. Des experts ont déclaré à Forbes que le groupe avait récemment conçu une attaque DNS qui redirigeait les visiteurs des sites Web cibles vers des sites pornographiques.
Que s'est-il passé exactement chez Uber ?
Le hacker Uber a annoncé son exploit de manière plutôt épique. Selon les captures d'écran faisant le tour des médias sociaux, le mauvais acteur a publié un message dans le groupe d'employés Slack affirmant: "Je suis un pirate informatique et uber a subi une violation de données." La partie malveillante a ensuite téléchargé les messages Slack ainsi que les détails d'un outil interne utilisé pour gérer les factures.
Honnêtement, une façon élégante de pirater quelqu'un @Uber pic.twitter.com/fFUA5xb3wv
— Colton (@ColtonSeal) 16 septembre 2022
Quelques jours après le premier signalement de l'incident, Uber a maintenant précisé que les informations sensibles de l'utilisateur telles que les détails du compte, l'historique des trajets, les numéros de compte bancaire et les détails de la carte de crédit n'avaient pas été volées. De plus, toutes les vulnérabilités et les bogues qui ont été glanés dans le tableau de bord HackerOne d'Uber ont depuis été corrigés. Les comptes d'employés compromis qui ont ouvert la voie à un prétendu piratage par ingénierie sociale ont été soit bloqués, soit leurs informations d'identification ont été réinitialisées.
Pour s'assurer qu'aucun autre mal ne soit causé, Uber a également verrouillé la base de code de la plate-forme et gelé toute autre soumission, tout en lançant une politique de rotation des clés d'accès pour ses systèmes internes. Uber dit qu'il travaille actuellement avec "plusieurs entreprises de criminalistique numérique de premier plan" pour enquêter plus avant sur l'incident de sécurité.