Компания во главе с Трэвисом Калаником заплатила хакерам $100 тыс. выкупа за удаление похищенного и молчание о взломе

Uber скрыл кражу данных 57 млн клиентов и водителей

Оригинал этого материала © ИА "РБК", 22.11.2017, Uber скрыла мощную кибератаку с кражей данных 57 млн клиентов и водителей, Фото: Reuters, observer.com, Bloomberg Анна Трунина

Трэвис Каланик

Системы в 2016 году подверглись мощной хакерской атаке, в результате которой в руках у киберпреступников оказались личные данные 57 млн клиентов и водителей службы онлайн-такси, пишет Bloomberg. Как рассказали агентству в самой компании, взлом системы произошел в октябре 2016 года. Тогда хакеры украли имена, адреса электронной почты и номера телефонов 50 млн пассажиров Uber по всему миру, а также личную информацию о 7 млн водителей, в частности взломщики получили 600 тыс. номеров водительских удостоверений водителей из США. Представители службы такси заверили, что номера социального страхования, данные кредитных карт и другие данные хакерская атака не затронула. Сама кибератака проходила следующим образом: сначала два злоумышленника получили доступ к веб-сервису для хостинга IT-проектов и их совместной разработки GitHub, который используют программисты Uber, затем благодаря полученным учетным данным сотрудников компании получили доступ к данным, хранящимся в Amazon Web Services, который обрабатывал вычислительные задачи Uber. Там взломщики обнаружили архив с информацией о клиентах и водителях. После этого, как пишет Bloomberg, они направили письмо в Uber с требованием денежного выкупа. По данным агентства, бывший исполнительный директор Uber Трэвис Каланик, который в июне уволился из компании на фоне скандала, узнал о кибератаке спустя месяц после того, как она произошла, но не обнародовал эту информацию. Вместо того чтобы сообщить о взломе регуляторам, компания заплатила хакерам порядка $100 тыс. взамен на удаление всех полученных данных и на неразглашение о случившемся. Сам Каланик отказался от комментариев Bloomberg. [Хакер.Ру, 22.11.2017, "В 2016 году Uber взломали, пострадали 57 млн пользователей, но компания заплатила хакерам и скрыла инцидент": По информации издания The New York Times, Uber удалось установить личности злоумышленников, но их заставили подписать соглашение о неразглашении информации, а выкуп был замаскирован под вознаграждение по программе bug bounty. — Врезка К.ру] Во время инцидента Uber вела переговоры с американскими государственными регуляторами, которые в тот момент расследовали отдельные претензии к компании о нарушении конфиденциальности. Таксомоторная компания, указывает агентство, теперь имеет юридическое обязательство сообщать о взломах властям и водителям, чьи данные могли попасть в руки злоумышленников. Новый генеральный директор Uber Дара Хосровшахи опубликовал во вторник, 21 ноября, официальное заявление по поводу этого инцидента.

Дара Хосровшахи

«Недавно я узнал, что в конце 2016 года нам стало известно, что два человека вне компании неправильно работали с пользовательскими данными, размещенными на стороннем облачном хранилище, которое мы используем. Этот инцидент не нарушил наши корпоративные системы или инфраструктуру», — написал он. По словам руководителя американской компании, эксперты Uber не выявили случаев загрузки сторонними людьми истории поездок, данных кредитных карт и банковских счетов, номеров социального страхования или даты рождения. Хосровшахи признал, что в руках хакеров оказались данные водительских прав порядка 600 тыс. водителей из США, а также некоторая личная информация 57 млн пассажиров и водителей компании по всему миру. «Во время инцидента мы предприняли немедленные шаги по обеспечению данных и прекращению дальнейшего несанкционированного доступа отдельных лиц к ним. Затем мы идентифицировали этих людей (хакеров. — РБК) и получили от них заверения о том, что загруженные данные были уничтожены», — подчеркнул гендиректор Uber. [РИА "Новости", 22.11.2017, "NYT сообщила об использовании Uber секретной программы для обмана властей": Два сотрудника Uber уволены на фоне сообщений о похищении хакерами данных 57 миллионов клиентов и водителей в 2016 году, говорится в заявлении главного исполнительного директора Uber Дара Хосровшахи. "С сегодняшнего дня два человека, которые были ответственны за принятие ответных мер в связи с инцидентом, уже не работают в компании", — говорится в заявлении Хосровшахи, опубликованном на сайте компании. [...] По данным газеты Wall Street Journal, из Uber были уволены начальник службы безопасности Джо Салливан и его заместитель Крейг Кларк. Как сообщает издание TechCrunch, генеральный прокурор Нью-Йорка Эрик Шнейдерман открыл расследование в связи со случившимся. — Врезка К.ру]

Джо Салливан

Отвечая на вопрос, почему компания решила открыть для общественности факт случившегося, Дара Хосровшахи указал, что специалисты Uber проводили долгое расследование кибератаки и действий предыдущего руководства. Он заверил, что после этого направил всю имеющуюся информацию о взломе госрегулятору, а также поручил связаться с водителями, чьи данные были похищены. [incrussia.ru, 22.11.2017, "Хакеры украли данные 57 млн пользователей Uber. Компания заплатила $100 тысяч, чтобы скрыть это": Ответными действиями Uber на атаку в октябре 2016 года руководил начальник службы безопасности Джо Салливан, который в 2015 году перешел на работу в компанию из Facebook. Ранее он занимал пост федерального прокурора. В октябре совет директоров Uber начал расследование в отношении деятельности команды Салливана, которое позволило узнать Uber о факте взлома. Uber с момента своего основания в 2009 году заслужила репутацию компании, нарушающей правила в тех сферах, где она работает, отмечает агентство. Американские власти начинали по меньшей мере пять расследований в рамках уголовных дел в связи с возможными фактами взяточничества, использования запрещенного ПО, сомнительными схемами ценообразования, а также кражей интеллектуальной собственности конкурента. Компания также столкнулась с десятками гражданских исков в США. Власти некоторых стран или городов запрещают работу сервиса, обвиняя компанию в безрассудном поведении. В январе прошлого года главный прокурор штата Нью-Йорк оштрафовал компанию на $20 тысяч из-за того, что компания слишком поздно сообщила о краже персональных данных в 2014 году. В июне совет директоров Uber уволил с поста генерального директора Трэвиса Каланика из-за давления инвесторов. Однако экс-глава компании сохранил место в совете директоров и собирался триумфально вернуться в Uber по примеру Стива Джобса. В августе один из крупнейших акционеров Uber подал в суд на Каланика, обвинив его в мошенничестве. А в октябре стало известно, что совет директоров Uber хочет ограничить полномочия бывшего главы Uber. — Врезка К.ру] [Вести.Ру, 22.11.2017, "Uber скрыла масштабный взлом, заплатив выкуп хакерам": Извинения не спасут компанию от новой порции внимания правоохранительных органов — после того, как детали случившегося стали известны, прокуратура Нью-Йорка начала расследование инцидента. Кроме того, один из пострадавших клиентов подал против Uber иск о возмещении убытков, который может в будущем стать коллективным. — Врезка К.ру] Трэвис КаланикДара ХосровшахиДжо Салливан Топ