Uber blâme le groupe de hackers Lapsus$ pour une faille de sécurité

Uber a déclaré qu’un pirate informatique affilié au groupe de piratage Lapsus$ était responsable d’une violation de ses systèmes internes la semaine dernière, tout en réitérant qu’aucune donnée client ou utilisateur n’a été compromise lors de l’attaque.

Le piratage, découvert jeudi dernier, a obligé l’entreprise à mettre plusieurs de ses systèmes internes hors ligne, notamment Slack, Amazon Web Services et Google Cloud Platform.

Cela s’est produit quelques jours avant que le fabricant de jeux vidéo Rockstar Games ne soit également piraté par un pirate informatique qui prétend être la même personne qui a attaqué Uber. Des dizaines de vidéos de l’entreprise n’ont pas été diffusées Grand Theft Auto VI a été divulgué en ligne. Dans sa mise à jour de sécurité, Uber fait référence au hack de Rockstar Games, mais ne confirme pas qu’il s’agissait du même attaquant.

La société affirme être en contact étroit avec le FBI et le ministère américain de la Justice alors que l’enquête se poursuit.

Uber a confirmé que le pirate avait téléchargé des messages internes de Slack ainsi que des informations à partir d’un outil interne utilisé par l’équipe financière de l’entreprise pour gérer les factures. “Nous analysons actuellement ces téléchargements”, a déclaré la société dans un communiqué.

Lapsus$ est un groupe de hackers connu pour avoir mené une attaque de ransomware contre le ministère brésilien de la Santé en décembre 2021, compromettant les données de vaccination contre le covid-19 de millions de personnes dans le pays. Il cible également un certain nombre d’entreprises de premier plan, volant des données à Nvidia, Samsung, Microsoft et Vodafone. La police de Londres a arrêté plusieurs membres du groupe plus tôt cette année, qui étaient tous des adolescents.

Dans sa mise à jour sur la brèche, Uber a confirmé de nouveaux détails sur le piratage. La société a déclaré que l’attaquant avait probablement acheté le mot de passe d’entreprise d’un entrepreneur Uber sur le dark web après que l’appareil personnel de l’entrepreneur ait été infecté par un logiciel malveillant, exposant ces informations d’identification.

“L’attaquant a ensuite tenté à plusieurs reprises de se connecter au compte Uber de l’entrepreneur”, a indiqué la société. “Chaque fois, l’entrepreneur a reçu une demande d’autorisation de connexion à deux facteurs, qui bloquait initialement l’accès. Finalement, cependant, l’entrepreneur en a accepté une et l’attaquant s’est connecté.”

(Auparavant, le pirate présumé affirmait avoir reçu un mot de passe permettant l’accès aux systèmes d’Uber d’un employé de l’entreprise, qu’il avait trompé en se faisant passer pour un responsable informatique de l’entreprise – une technique connue sous le nom d’ingénierie sociale.)

Le pirate informatique a ensuite eu accès à plusieurs autres comptes d’employés Uber, obtenant progressivement plus d’autorisations pour un certain nombre d’outils internes de l’entreprise, notamment G Suite et Slack. L’agresseur alors publier un message sur un canal Slack à l’échelle de l’entreprise et “a reconfiguré OpenDNS d’Uber pour afficher une image graphique aux employés sur certains sites Web internes”, a déclaré la société.

Le pirate s’est finalement annoncé aux employés d’Uber en publiant un message sur le système Slack interne de l’entreprise. “J’annonce que je suis un hacker et qu’Uber a subi une violation de données”, captures d’écran du message circulant sur Twitter lire. Le pirate présumé a ensuite répertorié les informations confidentielles de l’entreprise auxquelles ils ont dit avoir accédé et a publié un hashtag disant qu’Uber sous-paye ses chauffeurs.

Uber a déclaré avoir réagi en forçant les employés et les sous-traitants dont les comptes ont été compromis à changer leurs mots de passe et en les empêchant d’accéder à certains systèmes internes jusqu’à ce qu’ils l’aient fait. Il a également effectué une rotation des clés – réinitialisant ainsi l’accès – à de nombreux services internes d’Uber. Et il a verrouillé sa propre base de code, empêchant de nouvelles modifications de code – même s’il prétend n’avoir encore détecté aucun changement.

Uber affirme également que les données sensibles des clients, y compris les informations personnellement identifiables et les données financières, sont sécurisées.

Tout d’abord, nous n’avons pas vu l’attaquant accéder aux systèmes de production (c’est-à-dire face au public) qui exécutent nos applications ; tous les comptes d’utilisateurs ; ou les bases de données que nous utilisons pour stocker des informations sensibles sur les utilisateurs, telles que les numéros de carte de crédit, les informations de compte bancaire de l’utilisateur ou l’historique de ses voyages. Nous chiffrons également les informations de carte de crédit et les données personnelles de santé, offrant une couche de protection supplémentaire.

Uber dit que le pirate a eu accès au tableau de bord de l’entreprise sur HackerOne, où les chercheurs en sécurité signalent des bogues et des vulnérabilités. “Cependant, tous les rapports de bogues auxquels l’attaquant a accédé ont été corrigés”, indique la société.

En plus des forces de l’ordre, Uber affirme qu’il travaille également avec “plusieurs entreprises d’enquête numériques de premier plan” dans le cadre de l’enquête en cours.

“Nous saisirons également cette opportunité pour continuer à renforcer nos politiques, nos pratiques et notre technologie afin de protéger davantage Uber contre de futures attaques”, a déclaré la société.