» Nous répondons actuellement à un incident de cybersécurité. Nous sommes en contact avec les forces de l’ordre et nous publierons des mises à jour supplémentaires ici dès qu’elles seront disponibles « , indique Uber sur Twitter.
Le réseau informatique du groupe américain de VTC a été la victime d’une intrusion et une personne semble avoir été en mesure de compromettre un grand nombre d’informations sensibles. L’accès illégitime à plusieurs systèmes informatiques critiques d’Uber pourrait avoir été complet.
We are currently responding to a cybersecurity incident. We are in touch with law enforcement and will post additional updates here as they become available.
— Uber Comms (@Uber_Comms) September 16, 2022
De l’ingénierie sociale à l’origine
Au New York Times, la personne qui revendique le piratage d’ampleur a déclaré avoir envoyé un SMS à un employé d’Uber en se faisant passer pour un responsable informatique du groupe. Avec cette attaque par ingénierie sociale et une force de persuasion, elle aurait ainsi obtenu un mot de passe lui permettant d’avoir accès aux systèmes d’Uber.
A priori, c’est la compromission d’un compte Slack qui aurait débouché sur la découverte d’un mot passe offrant à l’attaquant un accès au VPN interne d’Uber. De fil en aiguille, il aurait trouvé d’autres identifiants pour des systèmes critiques, notamment via des scripts PowerShell sur l’intranet avec des informations pour la gestion des accès.
L’attaquant dit avoir 18 ans et tance Uber sur la faiblesse de sa sécurité. Selon BleepingComputer qui a consulté des captures d’écran réalisées par l’attaquant et en apparence authentiques, ce dernier a eu accès au logiciel de sécurité d’Uber, le domaine Windows, la console Amazon Web Services du groupe, les machines virtuelles VMware ESXi, le tableau de bord d’administration de la messagerie Google Workspace et le serveur de messagerie Slack en interne.
Des vulnérabilités de sécurité en prime
Sur Slack, l’attaquant avait publié un message pour les salariés d’Uber en annonçant son piratage et en indiquant que les chauffeurs Uber devraient être mieux payés.
En plus de code source d’Uber et de données sensibles, l’attaquant a également eu accès au compte d’Uber sur la plateforme de bug bounty HackerOne. Il est ainsi susceptible d’avoir en sa possession des rapports de vulnérabilités de sécurité, y compris pour des failles non comblées. S’il assure au Washington Post avoir agi par simple amusement, il n’écarte pas l’idée de divulguer du code source d’ici quelques mois.
Évidemment, toutes les déclarations du hacker ne sont pas à prendre pour argent comptant, mais c’est une affaire bien embarrassante qui se profile à l’horizon pour Uber.
Le groupe Uber avait été victime en 2016 d’une grosse fuite de données qui avait été dissimulée pendant plus d’un an par son ancienne direction. Uber avait tenté d’étouffer l’affaire en payant une rançon de 100 000 $ aux attaquants. Ce sera forcément différent cette fois-ci.