Uber, víctima de ingeniería social
Se presume que una persona de 18 años fue la responsable del ataque y que engañó a un empleado para acceder a la red de la compañía.
Uber confirmó que sufrió un incidente de seguridad. Al parecer, la compañía fue víctima del acceso indebido a varios de sus sistemas y el atacante envío a investigadores capturas de pantalla de correos, servicios de almacenamiento en la nube y repositorios de código para demostrar que había logrado acceder a los sistemas.
Para acceder a los sistemas de Uber, primero engañaron a través de ingeniería social a un empleado, luego accedieron a su VPN y escanearon la Intranet.
El investigador Sam Curry intercambió mensajes con quien asegura ser el responsable del ataque.
El atacante dijo que logró acceso completo a una pate importante y crítica de la infraestructura tecnológica de Uber como:
- Cuentas de administrador
- Servidores de Amazon Web Services
- Panel de HackerOne con el reporte de las vulnerabilidades
- Canal de Slack
- Acceso a cuentas de administrador vSphere y Google Suite
¿Fue vulnerada la información de usuarios?
La compañía solicitó a los trabajadores no utilizar la plataforma de comunicación Slack, que luego fue puesta fuera de servicio.
Al parecer, había una red compartida que contenía scripts de powershell y uno de estos contenía las credenciales de acceso para un usuario con permisos de administrador de una solución llamada PAM de thycotic que es utilizada para la gestión de accesos privilegiados.
Desde ahí habrían ingresado al resto de los servicios.
Sin embargo, Uber puntualizó lo siguiente:
- No hay evidencia de que los actores maliciosos hayan accedido a información sensible de usuarios como el historial de viajes
- Todos los servicios a través de las apps como Uber o Uber Eats están operando
- La compañía reportó el incidente a las autoridades
Se informó que este no es el primer caso en el que atacantes logran acceder a la red de una compañía tras engañar a un empleado con ingeniería social.