Spain

Uber sufre un ataque informático: un hacker de 18 años vulnera sus sistemas informáticos

Uber sufre un ataque informático: un hacker de 18 años vulnera sus sistemas informáticos

La empresa investiga los hechos. El ciberdelincuente habría utilizado técnicas de ingeniería social para colarse en la compañía.

Uber sufre un ataque informático: un hacker de 18 años vulnera sus sistemas informáticos

Uber está investigando un incidente de seguridad tras descubrir que su red informática ha sido vulnerada. La empresa ha desconectado varios sistemas internos de comunicación e ingeniería mientras analiza el alcance del hackeo y se ha puesto en contacto con las autoridades policiales.

Según ha avanzado The New York Time, un hacker comprometió la aplicación de mensajería Slack de un empleado y la utilizó para enviar un mensaje a los trabajadores de Uber anunciando que la empresa había sufrido una violación de datos. Al parecer, el pirata informático pudo acceder posteriormente a otros sistemas internos, publicando una foto explícita en una página de información interna para los empleados, añadió el citado periódico. 

El sistema Slack fue desconectado el jueves por la tarde por Uber después de que los empleados recibieran el mensaje del pirata informático: «Anuncio que soy un hacker y que Uber ha sufrido una violación». El mensaje añadía una lista de varias bases de datos internas que habían sido vulneradas.

La brecha parece haber comprometido muchos de los sistemas internos de la empresa, a tenor de las imágenes reveladas por la persona que se atribuye la responsabilidad del chakeo. «Tiene prácticamente todo el acceso a Uber», dijo Sam Curry, un ingeniero de seguridad de Yuga Labs, según informa Bloomberg. 

El supuesto hacker habría logrado vulnerar los sistemas de Uber tras enviar un mensaje de texto a un empleado de la compañía afirmando que era una persona del equipo técnico de Uber. Dicho trabajador fue persuadido de que entregase una contraseña que permitió al pirata informático acceder a los servicios de la empresa.

Slack dijo en un comunicado a Reuters que la compañía estaba investigando el incidente y que no había evidencia de una vulnerabilidad inherente a su plataforma. «Uber es un cliente valioso, y estamos aquí para ayudarles si nos necesitan», dijo en un comunicado Slack, compañía que recientemente fue comprada por Salesforce.

La brecha sufrida por Uber ha utilizado técnicas de ingeniería social similares a las que utilizaron otros hackers para violar recientemente sistemas de Microsoft y Okta. Según Rachel Tobac, CEO de SocialProof Security, los ciberdelincuentes tienen «ahora kits que facilitan estos métodos de ingeniería social. Se han convertido casi en una mercancía», señala a Bloomberg. 

El hacker dijo tener 18 años y dijo que había entrado en los sistemas de Uber porque la compañía tiene una seguridad débil. 

No es la primera vez que un hacker roba datos en Uber. En 2016 ya le robaron información de 57 millones de cuentas de conductores y pasajeros. El hacker le exigió en aquella ocasión 100.000 dólares para borrar su copia de los datos. Según recuerda Bloomberg, Uber organizó el pago pero mantuvo la brecha en secreto durante más de un año. Joe Sullivan, entonces responsable de seguridad de Uber, fue despedido tras ser acusado de obstrucción a la justicia por no revelar el agujero de seguridad a los reguladores y está actualmente en juicio. 

Uber acusa a Lapsus$ de un cyber ataque a su plataforma

Uber ha acusado al grupo de hackers Lapsus$ de un cyber ataque a su plataforma la semana pasada, obligando a cerrar temporalmente algunos sistemas internos.

Uber acusa a Lapsus$ de un cyber ataque a su plataforma

Uber Tech sufrió la semana pasada un cyber ataque a su plataforma perpetrado por el grupo de hackers Lapsus$, con raíces en Reino Unido y Brasil. El ataque obligó a la firma a cerrar temporalmente algunos sistemas internos, ya que los hackers obtuvieron a las credenciales de a cuenta de un contratista externo según Dave Lee en Financial Times.

El ataque es el más reciente contra una gran empresa de tecnología vinculada a Lapsus$, un grupo descrito por los investigadores de seguridad cibernética como un colectivo «laxamente» con raíces en el Reino Unido y Brasil. Anteriormente, se les culpó a los miembros por vergonzosos ataques a empresas como Microsoft, Samsung, Nvidia y Okta.

La pandilla también estuvo vinculada a otro ataque de alto perfil este fin de semana contra el desarrollador de videojuegos Rockstar Games, en el que se filtraron imágenes de la próxima entrega invisible de la serie Grand Theft Auto a un foro de fanáticos. Los investigadores de seguridad cibernética notaron fuertes similitudes en el ataque, pero dijeron que era demasiado pronto para confirmar una conexión.

Uber anunció por primera vez que había sido violado el jueves pasado por la noche. El lunes, confirmó que el intruso había obtenido «permisos elevados», otorgando acceso a una serie de sistemas internos y software empresarial utilizados por los empleados.

Entre ellos estaban los canales Slack de Uber, donde el atacante envió un mensaje alertando al personal sobre el ataque, diciendo: “Anuncio que soy un hacker y Uber ha sufrido una violación de datos”. Algunos empleados fueron redirigidos a una página web que contenía una imagen lasciva.

La empresa de transporte compartido con sede en San Francisco dijo que sus sistemas «de cara al público» no se vieron afectados, y agregó que las bases de datos que utiliza la empresa para almacenar datos «sensibles» de los usuarios, como los datos bancarios y el historial de viajes, no fueron violadas. “El atacante tampoco alteró el código de software subyacente a su aplicación y servicios”, dijo Uber.

Uber dijo que era «probable» que un hacker afiliado a Lapsus$ comprara la contraseña del contratista en la dark web.

“El atacante intentó repetidamente iniciar sesión en la cuenta de Uber del contratista”, dijo la compañía. “Cada vez, el contratista recibió una solicitud de aprobación de inicio de sesión de dos factores, que inicialmente bloqueó el acceso. Eventualmente, sin embargo, el contratista aceptó uno y el atacante inició sesión con éxito”.

Lapsus$ saltó a la fama a finales del año pasado, dijo Claire Tills del grupo de seguridad cibernética Tenable. La policía de Londres dijo en marzo que había arrestado a siete personas relacionadas con la pandilla, de entre 16 y 21 años.

Tills señaló que el grupo se ha descrito a sí mismo como «no motivado políticamente o patrocinado por el estado» y, en cambio, impulsado por una búsqueda de notoriedad. Un informe de investigación de Tenable publicado a principios de este año dijo que el grupo era «descarado, poco sofisticado e ilógico».

Ese patrón parecía evidente el domingo, cuando un usuario en un foro web de Grand Theft Auto, afirmando ser la persona que pirateó Uber días antes, publicó 90 videos e imágenes filtrados de Grand Theft Auto 6. Un seguimiento sugirió que «negociar” con la empresa para evitar la publicación de más imágenes.

Rockstar confirmó el lunes que las imágenes eran genuinas y que habían sido víctimas de una «intrusión en la red».

“Nuestro trabajo en el próximo juego de Grand Theft Auto continuará según lo planeado y seguimos tan comprometidos como siempre para brindarles a ustedes, nuestros jugadores, una experiencia que realmente supere sus expectativas”, publicó la compañía en Twitter.

Uber Tech cerraba la sesión del lunes en los 31.61 dólares y la media móvil de 200 se encuentra por debajo de la última vela.

Uber escondió el ‘hackeo’ de datos de usuarios y pagó a los atacantes para que borraran los datos

La compañía reveló que dos piratas informáticos robaron 57 millones de cuentas de conductores y pasajeros; sus funcionarios decidieron mantener el ataque en secreto por más de un año después de pagar un rescate de 100.000 dólares.

Uber escondió el ‘hackeo’ de datos de usuarios y pagó a los atacantes para que borraran los datos

Advertisement

Supported by

Negocios

Send any friend a story

As a subscriber, you have 10 gift articles to give each month. Anyone can read what you share.

Por Mike Isaac, Katie Benner y Sheera Frenkel

SAN FRANCISCO — Uber reveló el martes que piratas informáticos habían robado 57 millones de cuentas de conductores y pasajeros; la empresa había decidido mantener el ataque en secreto por más de un año después de pagar un rescate de 100.000 dólares.

El acuerdo fue organizado por el jefe de seguridad de la compañía y contó con la supervisión del expresidente ejecutivo, Travis Kalanick, según varios empleados actuales y antiguos que hablaron bajo la condición de mantener el anonimato, porque los detalles de la operación son privados.

El oficial de seguridad, Joe Sullivan, fue despedido. Kalanick fue removido de su cargo en junio, aunque permanece en el directorio de Uber.

Según contaron los empleados, dos hackers robaron datos sobre los clientes y conductores de la compañía, incluidos los números de teléfono, direcciones de correo electrónico y nombres. Luego se acercaron a Uber y exigieron 100.000 dólares para eliminar su copia de los datos.

Uber aceptó las exigencias de los atacantes y luego dio un paso más allá. La compañía rastreó a los piratas informáticos y los obligó a firmar acuerdos de confidencialidad, según las personas familiarizadas con la operación. Para ocultar aún más el daño, los ejecutivos de Uber también hicieron parecer que el pago había sido parte de una “recompensa por errores”, una práctica común entre las compañías de tecnología en la que se le paga a los piratas informáticos para que ataquen su software con el fin de detectar puntos débiles.

Los detalles del ataque permanecieron en secreto hasta el martes. La compañía dijo que descubrió la violación como parte de una investigación sobre las prácticas comerciales de Uber.

El ataque de Uber está lejos de ser la exposición más seria de los datos privados de clientes. Las dos filtraciones reveladas por Yahoo en 2016 eclipsan a la falla de Uber, y un ataque divulgado en septiembre por Equifax, la agencia de informes de crédito al consumidor, expuso un tesoro de información personal mucho más profundo para un grupo mucho más grande de personas.

Pero el manejo del ataque muestra hasta qué punto los ejecutivos de Uber estaban dispuestos a proteger la reputación y los negocios del gigante de 70.000 millones de dólares, incluso a costa de defraudar la confianza de sus usuarios y, quizá lo más importante, las leyes estatales y federales. La oficina del fiscal general de Nueva York dijo el martes que abrió una investigación sobre el asunto.

Dara Khosrowshahi, quien fue escogido como el director ejecutivo de Uber a fines de agosto, dijo que solo recientemente se había enterado de la violación.

“Nada de esto debería haber sucedido, y no tengo excusas para eso”, dijo Khosrowshahi en un comunicado publicado en el blog de la compañía. “Si bien no puedo borrar el pasado, puedo comprometerme en nombre de cada empleado de Uber que aprenderemos de nuestros errores. Estamos cambiando la forma en que hacemos negocios, colocando la integridad en el centro de cada decisión que tomamos y trabajando duro para ganarnos la confianza de nuestros clientes”. Una portavoz de Kalanick no quiso hacer ningún comentario.

La revelación de la violación de seguridad y la forma en que se mantuvo en secreto renuevan las preguntas sobre la permanencia de Kalanick, quien ha enfrentado críticas por su estilo de gestión y prácticas después de que Uber fuera objeto de escrutinio por su cultura laboral este año. The New York Times también informó sobre un programa secreto llamado Greyball que se había llevado a cabo bajo la supervisión de Kalanick, en el que los miembros del personal de Uber vigilaban a los agentes policiales con el fin de evadirlos. Desde su salida como director ejecutivo, uno de los primeros inversionistas de Uber lo demandó por fraude.

La falla de seguridad también afecta a Sullivan, quien fue una figura prominente de la industria de seguridad informática. Sullivan fue el primer director de seguridad de la compañía en 2015, después de haber sido el jefe de seguridad de Facebook durante siete años.

A diferencia de muchos ejecutivos de seguridad cibernética, Sullivan también es abogado y estudió delitos cibernéticos en la Universidad de Miami. Comenzó su carrera en la industria de la tecnología como fiscal federal durante el auge tecnológico de fines de la década de 1990, trabajando en empresas como eBay, donde fue el jefe de confianza y seguridad en 2002.

Cuando Uber tomó la decisión de contratar a Sullivan, muchos lo vieron como una victoria para la compañía. A medida que el número de clientes y conductores de Uber iba creciendo, también comenzaron las preocupaciones por la privacidad y seguridad. Uber había enfrentado quejas sobre agresiones de clientes y conductores, así como acusaciones de que no estaba haciendo lo suficiente para proteger los datos de los usuarios. Sullivan tuvo la tarea de mantener a los conductores y clientes a salvo.

Además de Sullivan, también despidieron a Craig Clark, director legal de seguridad de Uber. Ni Sullivan ni Clark respondieron a las solicitudes de declaraciones.

La decisión de la empresa de ocultar la falla y pagar el rescate rápidamente suscita dudas entre los expertos en seguridad. Muchos le han advertido a las empresas de forma reiterada que no paguen los rescates de los piratas informáticos para ocultar infracciones o devolver datos robados, un consejo que fue incluido en una declaración del FBI en 2016. Y varios estados, incluido California, tienen leyes que obligan a las empresas a divulgar cuando son atacadas por piratas informáticos.

“Las empresas están financiando el crimen organizado, se está creando una industria de delincuentes”, dijo Kevin Beaumont, un experto en ciberseguridad del Reino Unido. “Los chicos buenos están creando un mercado para los malos. Les estamos permitiendo monetizar lo que hace unos años solo eran adolescentes que desde sus cuartos atacaban a las empresas por pura diversión”.

Uber ya ha experimentado ataques. La empresa sufrió una violación de datos en mayo de 2014, un ataque que Uber descubrió más tarde ese año y se reveló en febrero de 2015. En ese ataque, los nombres y las licencias de conducir de más de 50.000 conductores se vieron comprometidos.

Esta última violación pone a Uber en otra situación difícil justo cuando la compañía está trabajando para reparar su imagen y prepararse para buscar una oferta pública inicial en 2019. Khosrowshahi ha calificado su presencia en la compañía como “Uber 2.0”. Como parte de eso intenta desechar los valores corporativos agresivos que Kalanick instauró y le dio al servicio de transporte una nueva lista de valores que incluye la frase “hacer lo correcto. Punto”.

Uber contrató a Matt Olsen, exasesor general de la Agencia de Seguridad Nacional, como asesor, y a Mandiant, una firma de seguridad, para llevar a cabo una investigación independiente de la violación de seguridad. Uber dijo que Olsen planea reorganizar el equipo de seguridad de la compañía.

Pero el daño ya está hecho, y los directivos de Uber están conscientes del largo camino que les toca transitar para volver a recuperar la confianza del público. Si bien no es ilegal pagarle a los hackers, Uber puede haber violado varias leyes al relacionarse con ellos.

Al exigir que los atacantes destruyan los datos robados, Uber puede haber violado una regla de la Comisión Federal de Comercio sobre la divulgación de violaciones que prohíbe a las empresas destruir cualquier evidencia forense en el curso de su investigación.

La compañía también puede haber violado las leyes estatales de divulgación de infracciones al no revelar el robo de los datos de los conductores de Uber. Si los datos robados no estuviesen encriptados, la ley del estado de California le habría exigido a Uber que divulgara los datos de las licencias de conducir de los choferes que fueron robados en el ataque.

Un portavoz de Uber se negó a comentar sobre esta situación.

Advertisement

KeywordS

uber , sufrir , ataque , informático , hacker , 18 , año , vulnerar , sistema , empresa , investigar , hecho , ciberdelincuente , haber , utilizar , técnica , ingeniería , social , colar , compañía

Uber fue víctima de hackers: quién fue el responsable y cómo accedieron a los datos de los usuariosEl atacante contactó a un empleado de la compañía por WhatsApp diciendo que era un trabajador del área de Tecnología Informática

Publicaciones relacionadas

Botón volver arriba