IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Uber : le piratage des données de 2016 aurait été commis par un hacker de 20 ans
Payé 100 000 $ sous forme de prime de bug bounty pour son silence

Le , par Olivier Famien

128PARTAGES

13  0 
Les jours se suivent et se ressemblent chez Uber. L’entreprise de mise en relation de véhicules avec chauffeurs et de particuliers connaît mois après mois de nombreux problèmes. Engagée dans plusieurs procès à travers le monde et en proie à plusieurs crises internes, l’entreprise pourrait voir son image être encore écornée à la suite de cette affaire de piratage de données parvenue à la connaissance du public.

En effet, vers la fin du mois de novembre, le PDG de l’entreprise de VTC, Dara Khosrowshahi, a rapporté que deux pirates informatiques ont volé les données personnelles de 57 millions de clients et de chauffeurs d’Uber Technologies Inc. Le fait le plus aggravant est que cette violation de données était connue de son chef de sécurité, Joe Sullivan, et de l’un de ses adjoints, Craig Clark, depuis 2016. Pour couvrir certaines actions, ces derniers ont passé sous silence ces faits et ont effectué un paiement de 100 ;000 dollars aux pirates informatiques en leur demandant de supprimer les données en leur possession.

Après avoir récemment appris l’accès non autorisé aux données de l’entreprise stockées sur la plateforme cloud d’Amazon ainsi que la dissimulation de cet incident par certains responsables de la sécurité informatique de l’entreprise, le PDG d’Uber a effectué un communiqué pour rassurer les chauffeurs et utilisateurs que des actions ont été prises depuis lors pour sécuriser les données et mettre fin à l’accès non autorisé. En outre, les deux responsables de sécurité qui se sont montrés fautifs en en étouffant l’affaire du piratage ont été limogés, car selon le directeur général d’Uber, l’incident aurait dû être révélé aux régulateurs au moment de sa découverte.

Mais loin d’être satisfaits par les actions correctives de l’entreprise, de nombreux médias y compris Reuters ont mené leurs enquêtes afin de faire la lumière sur cet incident. Après avoir creusé sur cette affaire, Reuters rapporte qu’un des deux pirates informatiques impliqués dans le vol des données serait un homme âgé de 20 ans qui a reçu le montant indiqué (100 ;000 dollars) sous forme de récompense donnée à travers le programme de bug bounty organisé par l’entreprise. Une source de Reuters décrit le hacker comme « vivant avec sa mère dans une petite maison en essayant d’aider à payer les factures ». Reuters ajoute que les membres de l’équipe de sécurité d’Uber ne voulaient pas poursuivre une personne qui semblait ne pas constituer une menace véritable.

En s’appuyant sur deux de ses sources, Reuters rapporte qu’Uber a fait le paiement pour confirmer l’identité du hacker et lui faire signer un accord de non-divulgation pour dissuader d’autres actes répréhensibles. Uber a également effectué une analyse de la machine du pirate informatique pour s’assurer que les données avaient été purgées, selon les sources.

En principe, les programmes de bug bounty sont organisés pour motiver les experts en sécurité et autres chercheurs à dénicher de nouvelles failles qui pourraient être exploitées par des acteurs malveillants afin de mettre à mal les affaires d’une entreprise. Selon un ancien dirigeant de HackerOne, qui héberge le service de bug bounty d’Uber, les primes de récompense pour la découverte de failles se situent en général entre 5000 et 10 ;000 dollars. Un paiement de 100 ;000 dollars par un programme de primes de bogue serait extrêmement inhabituel et représenterait un « record absolu » dans le domaine des découvertes de failles. Cet avis est également partagé par Katie Moussouris, ancien cadre de HackerOne, qui estime que le versement de 100 ;000 $ d’Uber et le silence à ce moment-là étaient extraordinaires dans le cadre d’un tel programme. « Si cela avait été un bogue légitime, il aurait été idéal pour tous les participants de le crier sur les toits », a déclaré Moussouris. Le fait qu’Uber n’ait pas signalé la violation aux régulateurs, même si elle avait peut-être l’impression d’avoir réglé le problème, était une erreur, selon des personnes à l’intérieur et à l’extérieur de l’entreprise qui ont échangé avec Reuters.

Le hacker qui vivrait en Floride aurait payé une deuxième personne pour les services qui impliquaient l’accès à la plateforme d’hébergement de code GitHub afin d’obtenir des informations d’accès aux données Uber stockées ailleurs, a indiqué l’une des sources de Reuters. Mais du côté de GitHub, les responsables de la plateforme ont indiqué que l’attaque n’impliquait pas une défaillance de ses systèmes de sécurité.

Une dernière chose à noter dans cet incident, c’est qu’en général le décaissement de 100 ;000 dollars dans une entreprise sérieuse ne peut se faire sans l’accord préalable d’un certain nombre de hauts dirigeants. Reuters rapporte que selon certaines sources non divulguées, le PDG d’alors, Travis Kalanick, aurait été informé de la violation et du paiement effectué aux pirates. Kalanick, qui a démissionné en tant que PDG d’Uber en juin, a refusé de commenter l’affaire, rapporte Reuters.

Source : Reuters

Et vous ?

Comment jugez-vous le règlement de cet incident par Uber ?

Quelle est votre perception d’Uber après ce énième incident rapporté ?

Voir aussi

Uber licencie plus de vingt employés à la suite d'une enquête de harcèlement sexuel et envisage une refonte de son image et de son organisation
Waymo vs Uber : le juge choqué aurait accusé Uber de dissimuler des preuves après avoir appris que l'entreprise aurait acheté le silence d'un employé

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Superzest 76
Membre confirmé https://www.developpez.com
Le 20/12/2018 à 15:45
Pour 1,2 million de compte français piraté Uber doit déboursé la somme ridicule de 400 000 €.
Soit la somme incroyable de 0.33C l'utilisateur.
En sachant que
« la CNIL a estimé que cette attaque n’aurait pu aboutir si certaines mesures élémentaires en matière de sécurité avaient été mises en place »
je sais pas un tarif par utilisateur plus élevé aurais peut être enfin fait un exemple pour les autres grandes boites à mieux protéger les données utilisateur...
3  0 
Avatar de tanaka59
Inactif https://www.developpez.com
Le 20/12/2018 à 16:24
Bien fait pour leur tronches. Bon la fuite a eu lieu avant le 25 mai 2018. Donc normal que celle ci soit ridicule. Attendez encore un peu les cas après le 25 mai vont flamber.

Quoi que une amende avec 3 zéro de plus ne ferait pas de mal .
0  0 
Avatar de Eric80
Membre éclairé https://www.developpez.com
Le 20/12/2018 à 18:17
Les agences européennes font vraiment petit bras face aux américaines!

On a donc 0.4+0.6+0.4 < 1.5 millions d' € pour UK+NL+FR, soit < 140 millions d habitants.

vs 148 millions de USD, soit 130 millions d'€ aux USA pour 350 millions d habitants.

rapport population 350/140 = 2.5

ou pour la France, 350/65 = 5.8 ; 130/5.8 = 24.

Si la Cnil avait un cadre juridique comme aux USA, c est donc 24 millions d'€ qu'elle aurait du réclamer!
0  0 
Avatar de marsupial
Expert éminent https://www.developpez.com
Le 24/08/2020 à 11:09
Rien que pour cette affaire, le RGPD trouve sa justification.
0  0 
Avatar de tanaka59
Inactif https://www.developpez.com
Le 24/08/2020 à 16:19
Bonjour,

Citation Envoyé par marsupial Voir le message
Rien que pour cette affaire, le RGPD trouve sa justification.
Oui est d'ailleurs a quand une plainte en France et ailleurs en Europe ? Le RGPD doit bien servir ... à moins que rétroactivement la période d'avant mise en application n'est pas couverte ?

Qu’en pensez-vous ?
Je pense que Uber doit se prendre une bonne grosse amende ... Trop de magouille.

Pensez-vous que Sullivan est plus responsable de cette dissimulation que Kalanick, l’ancien PDG d’Uber ?
Vu les sommes engrangées par ces sociétés, plus rien ne surprend qu'ils essayent de maquiller ou magouiller ou dissimuler en cas de problème. Un problème de la sorte pour eux c'est quelques % de CA. Autant dire pas grand chose.

Les dirigeants sont tous responsables à se couvrir les uns et les autres.
0  0