Uber encubrió un ataque que expuso datos de 57 millones de clientes y conductores
Uber ha admitido que encubrió un ciberataque masivo que tuvo lugar en octubre de 2016, exponiendo los datos confidenciales de 57 millones de clientes y conductores.
Esta revelación forma parte de un acuerdo con el Departamento de Justicia de Estados Unidos para evitar un proceso penal.
Uber «admite que su personal no informó de la violación de datos de noviembre de 2016 a la [Comisión Federal de Comercio] a pesar de una investigación pendiente de la FTC sobre la seguridad de los datos en la empresa», según un comunicado del Departamento de Justicia.
«Los hackers utilizaron credenciales robadas para acceder a un repositorio de código fuente privado y obtener una clave de acceso propietaria»
Los hackers utilizaron credenciales robadas para acceder a un repositorio privado de código fuente y obtener una clave de acceso propietaria, que luego utilizaron para acceder y copiar grandes cantidades de datos asociados a los usuarios y conductores de Uber, incluyendo datos pertenecientes a aproximadamente 57 millones de registros de usuarios.
La brecha incluía nombres, direcciones de correo electrónico y números de teléfono de más de 50 millones de usuarios de Uber en todo el mundo, mientras que más de 7 millones de conductores de Uber tenían datos similares expuestos, además de los números de carnet de conducir de unos 600.000 conductores estadounidenses.
La empresa pagó supuestamente a los atacantes un rescate de 100.000 dólares para que eliminaran los datos y no hicieran pública la filtración a los medios de comunicación ni a los organismos reguladores.
La decisión de no procesar a la compañía se basó, en parte, en la decisión de Uber de revelar la brecha, así como en un acuerdo en 2018 para informar sobre cualquier ciberataque futuro a los reguladores gubernamentales. El acuerdo también reconoce que Uber pagó 148 millones de dólares para resolver los litigios civiles vinculados a la violación de datos.
Joe Sullivan, jefe de seguridad de Uber en ese momento, también fue cómplice del encubrimiento, lo que llevó a su despido en 2017. Sullivan fue posteriormente acusado de obstrucción a la justicia por tratar de ocultar una violación de datos a la FTC y a la dirección de Uber. Su caso está programado para ir a juicio en septiembre de 2022.
