18-річний хлопець зламав Uber і похвалися цим у The New York Times

Історію хакера опублікувало видання The New York Times, якому той самостійно надіслав докази своєї атаки. Крім журналістів, матеріали отримали й дослідники безпеки.

Цікаво Три найкращі способи захистити інформацію на вашому комп'ютері

Атака на Uber

Я оголошую, що я хакер, і Uber зазнав витоку даних,
– йшлося в повідомленні у корпоративному месенджері Slack.

Зловмисник, ім'я котрого наразі залишається невідомим, використав не технічні чи програмні вразливості систем Uber, а соціальний інжиніринг. Це ціла сукупність дій, яка переважно спирається на психологію та спостереження за поведінкою людини й спрямована на те, щоб увійти до жертви в довіру й змусити видати свої дані добровільно.

• Початковий доступ до внутрішньої мережі він отримав, зв'язавшись зі співробітником Uber через WhatsApp. Якимось чином хакер дізнався його номер телефону, а потім переконав зайти на підроблений сайт Uber, який перехопив введені облікові дані в режимі реального часу і використав їх для входу на справжній сайт.
• В Uber була встановлена багатофакторна автентифікація у вигляді додатка, який вимагає натиснути кнопку на смартфоні при вході в систему. Співробітник, нічого не запідозривши, натиснув кнопку.
• Після цього злочинець виявив збережені адміністратором скрипти powershell, які автоматизували процес входу до різних мережевих ресурсів.
• Компанія відреагувала на це відключенням частини своєї внутрішньої мережі.
• Поки що не зрозуміло, до яких саме даних мав доступ хакер. Невідомим лишається й те, чи встиг він щось скопіювати або передати іншим людям.

Uber зберігає величезний масив даних про своїх користувачів, тому цілком можливо, що приватні адреси та записи про всі поїздки сотень мільйонів людей були доступні хакеру.

Що відомо про хакера

• Він стверджує, що йому 18 років.
• На каналах Uber Slack він скаржився на те, що водіям Uber недоплачують, що може натякати на його роботу в компанії або ж когось із його родичів, друзів чи знайомих.
• Той факт, що зловмисник не вжив жодних заходів для приховування своїх дій, дозволяє припустити, що вони мотивовані не фінансовою вигодою від програм-вимагачів, здирництва або шпигунства.