Uber, dans une mise \u00e0 jour, a d\u00e9clar\u00e9 qu’il n’y avait “aucune preuve” que les informations priv\u00e9es des utilisateurs aient \u00e9t\u00e9 compromises dans une violation de ses syst\u00e8mes informatiques internes qui a \u00e9t\u00e9 d\u00e9couverte jeudi soir.<\/p>\n
“Nous n’avons aucune preuve que l’incident impliquait l’acc\u00e8s \u00e0 des donn\u00e9es utilisateur sensibles (comme l’historique des trajets)”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a>. “Tous nos services, y compris Uber, Uber Eats, Uber Freight et l’application Uber Driver sont op\u00e9rationnels.”<\/p>\n La soci\u00e9t\u00e9 de covoiturage a \u00e9galement d\u00e9clar\u00e9 qu’elle avait remis en ligne tous les outils logiciels internes qu’elle avait supprim\u00e9s pr\u00e9c\u00e9demment par pr\u00e9caution, r\u00e9it\u00e9rant qu’elle avait inform\u00e9 les forces de l’ordre de l’affaire.<\/p>\n Il n’est pas imm\u00e9diatement clair si l’incident a entra\u00een\u00e9 le vol d’autres informations ou combien de temps l’intrus \u00e9tait \u00e0 l’int\u00e9rieur du r\u00e9seau d’Uber.<\/p>\n Uber n’a pas fourni plus de d\u00e9tails sur la fa\u00e7on dont l’incident s’est d\u00e9roul\u00e9, au-del\u00e0 de dire que son enqu\u00eate et ses efforts de r\u00e9ponse sont en cours. Mais le chercheur ind\u00e9pendant en s\u00e9curit\u00e9 Bill Demirkapi a qualifi\u00e9 la position \u00ab sans preuve \u00bb d’Uber de \u00ab sommaire \u00bb.<\/p>\n “‘Aucune preuve’ pourrait signifier que l’attaquant a eu acc\u00e8s, Uber n’a tout simplement pas trouv\u00e9 de preuve que l’attaquant *a utilis\u00e9* cet acc\u00e8s pour des donn\u00e9es utilisateur ‘sensibles'”, a d\u00e9clar\u00e9 Demirkapi. a dit<\/a>. “Dire explicitement des donn\u00e9es utilisateur” sensibles “plut\u00f4t que des donn\u00e9es utilisateur dans leur ensemble est \u00e9galement \u00e9trange.”<\/p>\n La violation aurait impliqu\u00e9 un pirate isol\u00e9, un adolescent de 18 ans, incitant un employ\u00e9 d’Uber \u00e0 fournir un acc\u00e8s au compte par ing\u00e9nierie sociale \u00e0 la victime pour qu’elle accepte une invite d’authentification multifacteur (MFA) qui permettait \u00e0 l’attaquant d’enregistrer son propre appareil.<\/p>\n Apr\u00e8s avoir pris pied pour la premi\u00e8re fois, l’agresseur a trouv\u00e9 un partage r\u00e9seau interne<\/a> qui contenait des scripts PowerShell avec des informations d’identification d’administrateur privil\u00e9gi\u00e9es, accordant carte blanche \u00e0 d’autres syst\u00e8mes critiques, notamment AWS, Google Cloud Platform, OneLogin, le portail de r\u00e9ponse aux incidents SentinelOne et Slack.<\/p>\n De fa\u00e7on inqui\u00e9tante, comme r\u00e9v\u00e9l\u00e9<\/a> par le chercheur en s\u00e9curit\u00e9 Sam Curry, le pirate informatique adolescent aurait \u00e9galement mis la main sur des rapports de vuln\u00e9rabilit\u00e9 divulgu\u00e9s en priv\u00e9 soumis via HackerOne dans le cadre du programme de primes de bogues d’Uber.<\/p>\n HackerOne a depuis d\u00e9m\u00e9nag\u00e9 \u00e0 d\u00e9sactiver le compte d’Uber<\/a>mais l’acc\u00e8s non autoris\u00e9 aux failles de s\u00e9curit\u00e9 non corrig\u00e9es de la plate-forme pourrait poser un \u00e9norme risque de s\u00e9curit\u00e9 pour l’entreprise bas\u00e9e \u00e0 San Francisco si le pirate choisissait de vendre les informations \u00e0 d’autres acteurs de la menace pour un profit rapide.<\/p>\n Jusqu’\u00e0 pr\u00e9sent, les motivations de l’attaquant derri\u00e8re la violation ne sont pas claires, bien qu’un message post\u00e9 par le pirate annoncer la rupture<\/a> sur Slack incluait un appel \u00e0 un salaire plus \u00e9lev\u00e9 pour les chauffeurs d’Uber.<\/p>\n Un rapport s\u00e9par\u00e9 du Washington Post c’est not\u00e9<\/a> que l’attaquant a fait irruption dans les r\u00e9seaux de l’entreprise pour le plaisir et pourrait divulguer le code source de l’entreprise dans quelques mois, tout en d\u00e9crivant la s\u00e9curit\u00e9 d’Uber comme “horrible”.<\/p>\n “Souvent, nous ne parlons que des APT, comme les \u00c9tats-nations, et nous oublions les autres acteurs de la menace, y compris les employ\u00e9s m\u00e9contents, les initi\u00e9s et, comme dans ce cas, les hacktivistes”, a d\u00e9clar\u00e9 Ismael Valenzuela Espejo, vice-pr\u00e9sident de la recherche sur les menaces et du renseignement chez BlackBerry. .<\/p>\n “Les organisations devraient les inclure dans leurs exercices de mod\u00e9lisation des menaces afin de d\u00e9terminer qui peut avoir une motivation pour attaquer l’entreprise, leur niveau de comp\u00e9tence et leurs capacit\u00e9s, et quel pourrait \u00eatre l’impact selon cette analyse.”<\/p>\n L’attaque visant Uber, ainsi que la r\u00e9cente s\u00e9rie d’incidents contre Twilio, Cloudflare, Cisco et LastPass, illustrent \u00e0 quel point l’ing\u00e9nierie sociale continue d’\u00eatre une \u00e9pine persistante dans la chair des organisations.<\/p>\n Cela montre \u00e9galement qu’il suffit qu’un employ\u00e9 partage ses identifiants de connexion pour qu’une violation se produise, ce qui prouve que l’authentification par mot de passe est un maillon faible de la s\u00e9curit\u00e9 des comptes.<\/p>\n “Une fois de plus, nous constatons que la s\u00e9curit\u00e9 d’une entreprise n’est aussi bonne que celle de ses employ\u00e9s les plus vuln\u00e9rables”, a d\u00e9clar\u00e9 Masha Sedova, co-fondatrice et pr\u00e9sidente d’Elevate Security, dans un communiqu\u00e9.<\/p>\n “Nous devons penser au-del\u00e0 de la formation g\u00e9n\u00e9rique, jumelons plut\u00f4t nos employ\u00e9s les plus \u00e0 risque avec des contr\u00f4les de protection plus sp\u00e9cifiques. Tant que nous continuerons \u00e0 traiter la cybers\u00e9curit\u00e9 uniquement comme un d\u00e9fi technique, nous continuerons \u00e0 perdre cette bataille”, a ajout\u00e9 Sedova.<\/p>\n Des incidents comme ceux-ci sont \u00e9galement la preuve que les codes de mot de passe \u00e0 usage unique (TOTP) bas\u00e9s sur le temps – g\u00e9n\u00e9ralement g\u00e9n\u00e9r\u00e9s via des applications d’authentification ou envoy\u00e9s sous forme de messages SMS – sont inad\u00e9quats pour s\u00e9curiser les barrages routiers 2FA.<\/p>\n L’un des moyens de contrer ces menaces est d’utiliser des protections contre le phishing conformes \u00e0 la norme FIDO2. cl\u00e9s de s\u00e9curit\u00e9 physiques<\/a>qui supprime les mots de passe au profit d’un p\u00e9riph\u00e9rique mat\u00e9riel externe qui g\u00e8re l’authentification.<\/p>\n “Les fournisseurs de MFA devraient * par d\u00e9faut * verrouiller automatiquement les comptes temporairement lorsque trop d’invites sont envoy\u00e9es dans un court laps de temps”, a d\u00e9clar\u00e9 Demirkapi, exhortant les organisations \u00e0 limiter l’acc\u00e8s privil\u00e9gi\u00e9.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"Uber](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663413657_840_Uber-affirme-quaucune-donnee-sensible-na-ete-exposee-dans-la.jpg\" "\\"Uber")
<\/div>\n![\"Uber](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663413657_65_Uber-affirme-quaucune-donnee-sensible-na-ete-exposee-dans-la.jpg\" "\\"Uber")
<\/div>\n![\"Uber](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663413657_452_Uber-affirme-quaucune-donnee-sensible-na-ete-exposee-dans-la.jpg\" "\\"Uber")
<\/div>\n![\"Uber](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663413657_731_Uber-affirme-quaucune-donnee-sensible-na-ete-exposee-dans-la.jpg\" "\\"Uber")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n