Kibertámadás érte az Ubert, egy állítólag 18 éves hacker letöltötte a cég HackerOne-os sebezhetőségi jelentéseit, és képernyőmentéseket osztott meg a vállalat belső rendszereiről, levelezőrendszer vezérlőpultjáról és Slack szerveréről.
Elsőként a The New York Times számolt be az esetről. A lap információi szerint a támadó social engineering technikával megszerezte egy Uber alkalmazott jelszavát, majd ennek segítségével segítségével férhetett hozzá a vállalat belső rendszereihez. A támadó azt állította, hogy a támadás részeként az Uber adatbázisaihoz és forráskódjához is hozzáférhetett.
Mivel a kérdéses Uber-fiók többfaktoros hitelesítéssel volt védve, a támadó állítólag MFA (Multifactor Authentication) Fatigue támadást alkalmazott, és az Uber informatikai ügyfélszolgálatának adta ki magát, hogy meggyőzze az alkalmazottat az MFA-kérés elfogadásáról.
MFA Fatigue támadásokról akkor beszélünk, amikor a fenyegetési szereplő kétfaktoros kérésekkel árasztja el a célpont eszközét, amíg az áldozat végül el nem fogadja az értesítést, véletlenül rákoppintva például a mobilkészülék képernyőjén, vagy azért mert egész egyszerűen megunja a sok üzenetet.
A hacker behatolt az Uber Slack szerverére is, amelyet arra használt, hogy üzeneteket küldjön az alkalmazottaknak, amelyekben azt állította, hogy a vállalatot feltörték. Az Uber Slackről készült képernyőmentések azonban azt mutatják, hogy ezeket a bejelentéseket először mémekkel és viccekkel fogadták, mivel az alkalmazottak nem hitték el, hogy tényleges kibertámadás történt.
A BleepingComputer egy forrástól azt is megtudta, hogy a támadó letöltötte az összes sebezhetőségi jelentést az Uber bug bounty programjából, mielőtt elvesztette volna a hozzáférést. Ez valószínűleg olyan sebezhetőségi jelentéseket is tartalmaz, amelyeket még nem javítottak ki, ami komoly biztonsági kockázatot jelent az Uber számára.
Az Uber közleményben közölte, hogy az FBI-jal, az igazságügyi minisztériummal és több vezető digitális törvényszéki céggel együttműködve dolgozik a nyomozáson.
