18-летний парень взломал Uber и похвастался этим в The New York Times

Историю хакера опубликовало издание The New York Times, которому он самостоятельно отправил доказательства своей атаки. Кроме журналистов материалы получили исследователи безопасности. 

Интересно Три лучших способа защитить информацию на вашем компьютере

Атака на Uber

Я объявляю, что я хакер, и Uber подвергся утечке данных,
– говорилось в корпоративном мессенджере Slack.

Злоумышленник, имя которого остается неизвестным, использовал не технические или программные уязвимости систем Uber, а социальный инжиниринг. Это целая совокупность действий, преимущественно опирающаяся на психологию и наблюдение за поведением человека и направленная на то, чтобы войти в доверие к жертве и заставить выдать свои данные добровольно.

• Первоначальный доступ к внутренней сети он получил, связавшись с сотрудником Uber через WhatsApp. Каким-то образом хакер узнал его номер телефона, затем убедил зайти на поддельный сайт Uber, который перехватил введенные учетные данные в режиме реального времени и использовал их для входа на настоящий сайт.
• В Uber была установлена многофакторная аутентификация в виде приложения, требующего нажать кнопку на смартфоне при входе в систему. Сотрудник, ничего не подозревая, нажал кнопку.
• После этого преступник обнаружил сохраненные администратором скрипты powershell, автоматизирующие процесс входа в различные сети.
• Компания отреагировала на это отключением части своей внутренней сети.
• Пока не ясно, к каким именно данным имел доступ хакер. Неизвестным остается и то, успел ли он что-либо скопировать или передать другим людям.

Uber хранит огромный массив данных о своих пользователях, поэтому вполне возможно, что частные адреса и записи обо всех поездках сотен миллионов людей были доступны хакеру.

Что известно о хакере

• Он утверждает, что ему 18 лет.
• На каналах Uber Slack он жаловался, что водителям Uber недоплачивают. Это может намекать на его работу в компании или кого-то из его родственников, друзей или знакомых.
• Тот факт, что злоумышленник не принял никаких мер по сокрытию своих действий, позволяет предположить, что они мотивированы не финансовой выгодой от программ-вымогателей или шпионажа.