Top menu

Uber заплатили злоумышленникам $100 000, чтобы скрыть факт утечки персональных данных пользователей и водителей сервиса через облачное хранилище.

В октябре 2016 года компания Uber подверглась атаке двух вымогателей, не имеющих отношения к компании, которые неправомочно получили доступ к данным 50 миллионов пользователей сервиса и 7 миллионов водителей.

Украденная информация содержала имена, адреса электронной почты и номера телефонов, а также 600 тыс. номеров американских водительских удостоверений.

В публичном заявлении, сделанном 21 ноября 2017 года главой Uber Дара Хосровшахи сообщается, что взлома внутренней IT-системы компании не было. По его словам, компания использует сторонний облачный сервис хранения данных, на котором была размещена украденная информация и к которому и получили доступ вымогатели.

Uber заплатили злоумышленникам 100 тыс. долларов США за то, чтобы они удалили данные, и не афишировали факт кражи персональных данных.

В данном инциденте есть как минимум два интересных момента.

Во-первых, все СМИ сразу начали писать про хакеров, атаковавших Uber и похитивших персональные данные, хотя на самом деле не было никакой хакерской атаки. Это банальный случай, когда конфиденциальные данные выкладывают на неправильно сконфигурированное облачное хранилище, к которому любой может получить доступ. Uber явно не использует никаких технических средств предотвращения утечек информации, которые могут отслеживать чувствительные данные, хранящиеся не должным образом, в том числе и в облаках.

В данном конкретном случае речь идет сразу о двух облачных сервисах: GitHub и Amazon Web Services (AWS). GitHub это крупнейший сервис для совместной разработки и хранения исходных кодов, куда разработчики Uber сохранили ключи доступа к учетной записи компании в AWS. Поскольку репозитарий исходных кодов открытый, кто угодно мог заполучить информацию для доступа к данным Uber, хранящимся в облаке Amazon.

Во-вторых, год назад Uber согласились заплатить выкуп за неразглашения факта утечки персональных данных своих клиентов и водителей, а сегодня они вдруг публично в этом признались. Видимо это связано с приходом нового генерального директора Дара Хосровшахи, вступившего в должность в августе 2017 года.

Автор: Ашот Оганесян