Intrusión en Uber pone de relieve engaño social de hackers

Uber afirmó el viernes que todos sus servicios estaban funcionando luego de lo que fue descrito por profesionales como una falla grave de seguridad de datos, y afirmó que no había pruebas de que el hacker hubiera accedido a datos confidenciales de los usuarios.

Sin embargo, la intrusión, aparentemente cometida por un hacker en solitario, puso en evidencia una práctica cada vez más eficaz que involucra la ingeniería social: El hacker aparentemente obtuvo acceso haciéndose pasar por un colega, engañando a un empleado de Uber para que le diera sus acreditaciones.

Luego fue capaz de localizar contraseñas en la red que le permitieron obtener el nivel de acceso privilegiado que está reservado para los administradores de sistemas.

El daño potencial era grave: las capturas de pantalla que el hacker compartió con los investigadores de seguridad indican que obtuvo acceso completo a los sistemas alojados en la nube donde Uber almacena datos financieros y confidenciales de los clientes.

Se desconoce cuántos datos robó el hacker o cuánto tiempo estuvo dentro de la red de Uber.

Dos investigadores que se comunicaron directamente con la persona —que se identificó como un joven de 18 años ante uno de ellos— dijeron que el hacker parecía estar interesado en obtener publicidad. No hubo indicios de que hubiera destruido datos.

Pero los archivos compartidos con los investigadores y publicados ampliamente en Twitter y otras redes sociales indican que el hacker pudo obtener acceso a los sistemas más cruciales del servicio de Uber.

“Fue muy grave el acceso que tuvo. Es horrible”, dijo Corbin Leo, uno de los investigadores que chateó con el hacker en línea.

Las reacciones de la comunidad de ciberseguridad en internet fueron duras.

El hackeo “no fue sofisticado ni complicado y claramente se basó en múltiples y enormes fallos sistémicos en materia de cultura e ingeniería de seguridad”, tuiteó Lesley Carhart, directora de respuesta a incidentes de Dragos Inc., que se especializa en sistemas de control industrial.

Leo dijo que las capturas de pantalla que compartió mostraron que el intruso obtuvo acceso a sus servidores en la nube en Amazon y Google, donde Uber almacena su código fuente, los datos financieros y los datos de los clientes, como las licencias de conducir.

“Si tuviera las llaves del reino podría empezar a interrumpir los servicios. Podría borrar material. Podría descargar los datos de los clientes, cambiar las contraseñas de la gente”, dijo Leo, investigador y jefe de desarrollo de negocios de la empresa de seguridad Zellic.

Las capturas de pantalla compartidas por el pirata informático —muchas de las cuales circularon en internet— mostraban que habían accedido a datos financieros delicados y a bases de datos internas.

En un comunicado publicado el viernes, Uber dijo que “las herramientas internas de software que desactivamos ayer como precaución está de nuevo en operación”.

Dijo que todos sus servicios _incluyendo Uber Eats y Uber Freight— estaban funcionando y que había notificado a la policía. El FBI afirmó a través de un correo electrónico que está “al tanto del incidente cibernético que involucra a Uber, y nuestra asistencia a la compañía está en curso.”

Uber dijo que no había evidencia de que el intruso haya accedido a “datos delicados de los usuarios”, como el historial de viajes, pero no respondió a las preguntas de The Associated Press, entre ellas si los datos se almacenaban encriptados.