Uber ha pagato gli hacker per nascondere una massiccia violazione dei dati

Getty

Uber ha preso molte svolte sbagliate negli ultimi anni. Ma l'ultimo è sicuramente uno dei più dannosi. Bloomberg ha rivelato che l'azienda ha nascosto per più di un anno una massiccia violazione dei dati che ha esposto i record sensibili di milioni di conducenti e clienti. La violazione, avvenuta nell'ottobre 2016, sarebbe stata nascosta dal capo della sicurezza di Uber, Joe Sullivan, e altri. Sullivan e uno dei suoi vice sono stati estromessi dalla compagnia. Travis Kalanick, cofondatore dell'azienda ed ex CEO, è stato informato della violazione non molto tempo dopo che si è verificata.

In un comunicato stampa pubblicato poco dopo la pubblicazione della storia di Bloomberg, l'attuale CEO di Uber, Dara Khosrowshahi, ha affermato che gli hacker sono stati in grado di scaricare file contenenti una quantità significativa di informazioni, inclusi i nomi e i numeri di patente di circa 600.000 conducenti negli Stati Uniti, nonché informazioni personali come nomi, indirizzi e-mail e numeri di cellulare di 57 milioni di utenti Uber in tutto il mondo. La società afferma che esperti forensi esterni chiamati per analizzare la violazione non hanno visto alcuna indicazione che i numeri di carta di credito, i dettagli del conto bancario e i numeri di previdenza sociale siano stati scaricati. Ma non ha detto che tali dettagli non fossero stati violati.

Come con i precedenti mega-hack, nei prossimi giorni e settimane emergeranno maggiori dettagli. Ma ci sono già domande urgenti che richiedono risposte rapide. Chi esattamente all'interno dello staff di Uber sapeva dell'hacking dopo che si è verificato e quante persone sono state attivamente coinvolte nell'insabbiamento, che ha comportato il pagamento agli hacker di $ 100.000 per eliminare i dati e mantenere silenziosa la violazione? Qualcuno nel consiglio di Uber è stato informato dell'intrusione in quel momento? Se no, perché no? E perché Uber non ha informato rapidamente le autorità di regolamentazione dell'hacking?

Storia correlata

Storia correlata Un numero ristretto ma crescente di società di sicurezza informatica sta introducendo programmi di garanzia che possono fungere da assicurazione contro il costo di una potenziale violazione dei dati.

Il rapporto di Bloomberg afferma che quando si è verificata la violazione, Uber stava già parlando con le autorità di regolamentazione statunitensi di violazioni della privacy separate e aveva appena risolto un caso con la Federal Trade Commission per la cattiva gestione dei dati dei consumatori. Ha anche riferito il mese scorso che il consiglio di amministrazione della società aveva avviato un'indagine sulle attività del team di sicurezza di Sullivan. È stato lo studio legale esterno a guidare quello sforzo a scoprire l'hacking e l'insabbiamento.

La violazione solleva grandi interrogativi sullo stato delle pratiche di sicurezza di Uber. Secondo Bloomberg, gli intrusi sono stati in grado di trovare le credenziali di accesso degli ingegneri Uber su Github, un repository di codice ampiamente utilizzato. Questi hanno dato loro accesso a un server di cloud computing Amazon contenente i dati. Questa è una sorprendente violazione dei fondamenti della sicurezza. È anche sorprendente che quantità così grandi di dati personali sensibili siano apparentemente detenute su un servizio di terze parti senza essere crittografate.

Uber ora sta cercando di limitare i danni alla sua reputazione. La società ha assunto un ex consigliere generale della NSA per aiutarla a ripensare le sue pratiche di sicurezza e ha anche assunto Mandiant, un'azienda di sicurezza informatica che ha affrontato le ricadute di molte violazioni di alto profilo. Khosrowshahi ha appreso solo di recente della violazione. Niente di tutto questo sarebbe dovuto accadere, ha detto nel comunicato, e non avrò scuse per questo. Va bene così, perché i comportamenti e le pratiche che hanno portato a questo fiasco sono imperdonabili.

nascondere