Discussion :

[Olivier Famien]

Le piratage des données de 57 millions de clients d’Uber aurait été commis par un hacker de 20 ans
payé 100 000 $ sous forme de prime de bug bounty pour garder le silence

Les jours se suivent et se ressemblent chez Uber. L’entreprise de mise en relation de véhicules avec chauffeurs et de particuliers connaît mois après mois de nombreux problèmes. Engagée dans plusieurs procès à travers le monde et en proie à plusieurs crises internes, l’entreprise pourrait voir son image être encore écornée à la suite de cette affaire de piratage de données parvenue à la connaissance du public.

En effet, vers la fin du mois de novembre, le PDG de l’entreprise de VTC, Dara Khosrowshahi, a rapporté que deux pirates informatiques ont volé les données personnelles de 57 millions de clients et de chauffeurs d’Uber Technologies Inc. Le fait le plus aggravant est que cette violation de données était connue de son chef de sécurité, Joe Sullivan, et de l’un de ses adjoints, Craig Clark, depuis 2016. Pour couvrir certaines actions, ces derniers ont passé sous silence ces faits et ont effectué un paiement de 100 000 dollars aux pirates informatiques en leur demandant de supprimer les données en leur possession.

Après avoir récemment appris l’accès non autorisé aux données de l’entreprise stockées sur la plateforme cloud d’Amazon ainsi que la dissimulation de cet incident par certains responsables de la sécurité informatique de l’entreprise, le PDG d’Uber a effectué un communiqué pour rassurer les chauffeurs et utilisateurs que des actions ont été prises depuis lors pour sécuriser les données et mettre fin à l’accès non autorisé. En outre, les deux responsables de sécurité qui se sont montrés fautifs en en étouffant l’affaire du piratage ont été limogés, car selon le directeur général d’Uber, l’incident aurait dû être révélé aux régulateurs au moment de sa découverte.

Mais loin d’être satisfaits par les actions correctives de l’entreprise, de nombreux médias y compris Reuters ont mené leurs enquêtes afin de faire la lumière sur cet incident. Après avoir creusé sur cette affaire, Reuters rapporte qu’un des deux pirates informatiques impliqués dans le vol des données serait un homme âgé de 20 ans qui a reçu le montant indiqué (100 000 dollars) sous forme de récompense donnée à travers le programme de bug bounty organisé par l’entreprise. Une source de Reuters décrit le hacker comme « vivant avec sa mère dans une petite maison en essayant d’aider à payer les factures ». Reuters ajoute que les membres de l’équipe de sécurité d’Uber ne voulaient pas poursuivre une personne qui semblait ne pas constituer une menace véritable.

En s’appuyant sur deux de ses sources, Reuters rapporte qu’Uber a fait le paiement pour confirmer l’identité du hacker et lui faire signer un accord de non-divulgation pour dissuader d’autres actes répréhensibles. Uber a également effectué une analyse de la machine du pirate informatique pour s’assurer que les données avaient été purgées, selon les sources.

En principe, les programmes de bug bounty sont organisés pour motiver les experts en sécurité et autres chercheurs à dénicher de nouvelles failles qui pourraient être exploitées par des acteurs malveillants afin de mettre à mal les affaires d’une entreprise. Selon un ancien dirigeant de HackerOne, qui héberge le service de bug bounty d’Uber, les primes de récompense pour la découverte de failles se situent en général entre 5000 et 10 000 dollars. Un paiement de 100 000 dollars par un programme de primes de bogue serait extrêmement inhabituel et représenterait un « record absolu » dans le domaine des découvertes de failles. Cet avis est également partagé par Katie Moussouris, ancien cadre de HackerOne, qui estime que le versement de 100 000 $ d’Uber et le silence à ce moment-là étaient extraordinaires dans le cadre d’un tel programme. « Si cela avait été un bogue légitime, il aurait été idéal pour tous les participants de le crier sur les toits », a déclaré Moussouris. Le fait qu’Uber n’ait pas signalé la violation aux régulateurs, même si elle avait peut-être l’impression d’avoir réglé le problème, était une erreur, selon des personnes à l’intérieur et à l’extérieur de l’entreprise qui ont échangé avec Reuters.

Le hacker qui vivrait en Floride aurait payé une deuxième personne pour les services qui impliquaient l’accès à la plateforme d’hébergement de code GitHub afin d’obtenir des informations d’accès aux données Uber stockées ailleurs, a indiqué l’une des sources de Reuters. Mais du côté de GitHub, les responsables de la plateforme ont indiqué que l’attaque n’impliquait pas une défaillance de ses systèmes de sécurité.

Une dernière chose à noter dans cet incident, c’est qu’en général le décaissement de 100 000 dollars dans une entreprise sérieuse ne peut se faire sans l’accord préalable d’un certain nombre de hauts dirigeants. Reuters rapporte que selon certaines sources non divulguées, le PDG d’alors, Travis Kalanick, aurait été informé de la violation et du paiement effectué aux pirates. Kalanick, qui a démissionné en tant que PDG d’Uber en juin, a refusé de commenter l’affaire, rapporte Reuters.

Source : Reuters

Et vous ?

Comment jugez-vous le règlement de cet incident par Uber ?

Quelle est votre perception d’Uber après ce énième incident rapporté ?

Voir aussi

Uber licencie plus de vingt employés à la suite d'une enquête de harcèlement sexuel et envisage une refonte de son image et de son organisation
Waymo vs Uber : le juge choqué aurait accusé Uber de dissimuler des preuves après avoir appris que l'entreprise aurait acheté le silence d'un employé

[Stan Adkens]

Uber versera 148 millions de dollars pour régler une enquête pour violation de données
Pour avoir dissimulé l'accès non autorisé au public

Pour régler une enquête nationale sur une violation de données impliquant Uber et ayant permis à un pirate informatique d’accéder à des informations de 57 millions de clients et chauffeurs, l’entreprise de mise en relation de véhicules avec chauffeurs et de particuliers devra verser 148 millions de dollars. C’est ce qu’a rapporté le journal The New York Times, le mercredi dernier.

En effet, vers la fin du mois de novembre, le PDG de l’entreprise de VTC, Dara Khosrowshahi, a publié l’information selon laquelle deux pirates informatiques ont volé les données personnelles de 57 millions de clients et de chauffeurs d’Uber Technologies Inc. Le fait le plus aggravant est que cette violation de données était connue de son chef de sécurité, Joe Sullivan, et de l’un de ses adjoints, Craig Clark, depuis 2016. Pour couvrir certaines actions, ces derniers ont passé sous silence ces faits et ont effectué un paiement de 100 000 dollars aux pirates informatiques sous forme de prime bogue pour leur silence.

Après avoir appris cet accès non autorisé aux données ainsi que l’acte de dissimulation de l’incident par certains responsables chargés de la sécurité informatique de l’entreprise, le PDG d’Uber a fait un communiqué pour rassurer les chauffeurs et utilisateurs que des actions ont été entreprises depuis lors pour sécuriser les données et mettre fin à l’accès non autorisé. Par ailleurs, les responsables informatiques fautifs avaient été limogés, car l’information de l’accès non autorisé aurait dû être révélée non seulement aux régulateurs, mais également aux utilisateurs au moment de sa découverte.

L’information rendue publique par le PDG d’Uber a suscité une enquête des procureurs généraux des États-Unis pour déterminer si les lois sur la notification de violation de données n’ont pas été transgressées par la société lorsqu'elle a choisi de supprimer les données piratées de ses clients et chauffeurs et de ne pas informer les consommateurs que leurs informations avaient été compromises. Les données compromises comprenaient des noms et des numéros de permis de conduire de 600 000 conducteurs.

« La décision d'Uber de dissimuler cette violation était une violation flagrante de la confiance du public », a déclaré Xavier Becerra, procureur général de Californie, dans un communiqué. « La société n'a pas réussi à protéger les données des utilisateurs et à informer les autorités lorsqu'elles ont été exposées. », a-t-il ajouté.

La société de transport, qui veut retrouver la confiance des clients et chauffeurs et refaire son image, collabore pleinement à l’enquête. Elle versera 148 millions de dollars dont le règlement sera réparti entre les 50 États et le district de Columbia. Selon Tony West, le directeur juridique d'Uber, la société avait récemment engagé un responsable de la protection de la vie privée et un responsable de la confiance et de la sécurité. « Nous savons que gagner la confiance de nos clients et des régulateurs avec lesquels nous travaillons à l’échelle mondiale n’est pas une mince affaire. Après tout, la confiance est difficile à gagner et facile à perdre », a déclaré M. West.

En avril dernier, la Federal Trade Commission (FTC) a mené également une enquête qu’elle a focalisée sur la violation de données. La commission soumet également uber à des audits de confidentialité réguliers.

Par ce règlement, les procureurs généraux des États-Unis veulent interpeler tous les entreprises qui conservent les données utilisateur sur leurs responsabilités. « Les entreprises en Californie et dans tout le pays se voient confier des informations privées précieuses », a déclaré M. Becerra. « Ce règlement est diffusé à tous afin que nous les tenions responsables de la protection de ces données. »

Source : The New York Times

Et vous ?

Que pensez-vous du dénouement de cette affaire ?
Pensez-vous qu’il pourra servir de leçon aux entreprises qui s’adonnent à ces genres de pratiques ?

Voir aussi

Les conducteurs d'entreprises de VTC ont vu leurs gains diminuer de moitié entre 2013 et 2018, idem pour les autres travailleurs de la gig economie
Uber aurait enregistré des pertes s'élevant à 4,5 milliards USD en 2017, la majeure partie de ses revenus servirait à payer ses chauffeurs
Un expert met en cause la technologie déployée par Uber dans l'accident mortel impliquant sa voiture autonome, et livre son analyse détaillée
Uber aurait perdu 891 millions USD au 2nd trimestre 2018, les investisseurs exhorteraient la société à vendre la division de voiture autonome
Uber ferme sa division dédiée aux camions autonomes, afin de recentrer ses efforts de conduite autonome sur les voitures uniquement

[Bill Fassinou]

Les autorités britanniques et néerlandaises infligent une amende d'un million d'euros à Uber
pour une violation des données de ses clients en 2016

Uber est une entreprise technologique américaine qui développe et exploite des applications mobiles de mise en contact d'utilisateurs avec des conducteurs réalisant des services de transport. L'entreprise vient d'écoper d'une amende de plus de 900 000 £ pour une violation des données de 2016 qui a affecté les données des clients. Le Bureau du Commissaire à l'information, « Information Commissioner's Office (ICO) », un organisme public britannique qui défend le droit à l'information dans l'intérêt public, en promouvant la transparence des organismes publics et la protection des données à caractère personnel, a condamné Uber à une amende de 385 000 £, soit environ 434 000 € pour n'avoir pas assez protéger les informations personnelles de ses clients lors d'une cyberattaque.

Au même moment, « Dutch Data Protection Authority (DPA) », l'autorité néerlandaise de la protection des données qui est l'autorité de protection des données des Pays-Bas, a infligé aussi une amende de 600 000 € à Uber pour violation de la législation néerlandaise sur la protection des données. Au total, l'entreprise californienne a donc écopé d'une amende d'environ un million d'euros. Pour rappel, vers la fin du mois de novembre 2017, le PDG de l’entreprise de VTC, Dara Khosrowshahi, avait rapporté que deux pirates informatiques ont volé les données personnelles de 57 millions de clients et de chauffeurs d’Uber Technologies Inc. Le fait le plus aggravant est que cette violation de données était connue de son chef de sécurité, Joe Sullivan, et de l’un de ses adjoints, Craig Clark, depuis 2016.

Pour couvrir certaines actions, ces derniers ont passé sous silence ces faits et ont effectué un paiement de 100 000 dollars aux pirates informatiques en leur demandant de supprimer les données en leur possession. Après avoir creusé sur cette affaire, Reuters avait rapporté qu’un des deux pirates informatiques impliqués dans le vol des données serait un homme âgé de 20 ans qui a reçu le montant indiqué (100 000 dollars) sous forme de récompense donnée à travers le programme de bug bounty organisé par l’entreprise. Une source de Reuters avait décrit le hacker comme « vivant avec sa mère dans une petite maison en essayant d’aider à payer les factures ». Reuters ajoute que les membres de l’équipe de sécurité d’Uber ne voulaient pas poursuivre une personne qui semblait ne pas constituer une menace véritable.

Le PDG a assuré qu’au moment de l'incident, Uber a pris des mesures immédiates pour sécuriser les données et mettre fin à l'accès non autorisé par les individus. Elle a ensuite identifié les individus et obtenu l'assurance que les données téléchargées avaient été détruites. Puis elle a mis en place des mesures de sécurité pour restreindre l'accès aux contrôles sur ses comptes de stockage basés sur le cloud et les renforcer. Les données compromises comprenaient des noms et des numéros de permis de conduire de 600 000 conducteurs. « La décision d'Uber de dissimuler cette violation était une violation flagrante de la confiance du public », avait déclaré Xavier Becerra, procureur général de Californie, dans un communiqué. « La société n'a pas réussi à protéger les données des utilisateurs et à informer les autorités lorsqu'elles ont été exposées. », a-t-il ajouté.

La société de transport, qui veut retrouver la confiance des clients et chauffeurs et refaire son image, collabore pleinement à l’enquête. Elle avait décidé de verser 148 millions de dollars dont le règlement sera réparti entre les 50 États et le district de Columbia. Selon Tony West, le directeur juridique d'Uber, la société avait récemment engagé un responsable de la protection de la vie privée et un responsable de la confiance et de la sécurité. « Nous savons que gagner la confiance de nos clients et des régulateurs avec lesquels nous travaillons à l’échelle mondiale n’est pas une mince affaire. Après tout, la confiance est difficile à gagner et facile à perdre », avait déclaré M. West.

« Il s’agit non seulement d’une grave défaillance en matière de protection des données de la part d’Uber mais également d’un mépris total pour les clients et les chauffeurs dont les données personnelles avaient été volées », déclare Steve Eckersley, directeur des enquêtes au sein de l’ICO, cité dans un communiqué. « A l’époque, aucune mesure n’avait été prise pour avertir la moindre personne concernée par les faits ni pour proposer de l’aide et du soutien », a-t-il ajouté. L’ICO a précisé que des données de près de 82 000 chauffeurs basés en Grande-Bretagne avaient été volées en octobre et en novembre 2016. Les autorités néerlandaises ont pour leur part fait état de 174 000 personnes affectées par l’incident. Dans un communiqué, Uber se dit « satisfait d’avoir fermé ce chapitre sur l’incident des données de 2016 ».

« Payer les attaquants et ensuite garder le silence à ce sujet par la suite n'était pas, à notre avis, une réponse appropriée à la cyberattaque », a déclaré Eckersley. La loi sur la protection des données (Data Protection Act, DPA) de 1998 ne comportait aucune obligation légale, mais tout a changé depuis l'entrée en vigueur du RGPD en mai dernier. Les entreprises disposent de 72 heures pour informer l’ICO ou disposer d’un motif valable pour ne pas le faire. Les deux amendes émises se sont donc limitées à celles autorisées par la loi de 1998 sur la protection des données. Si l'incident de sécurité s'était produit après l'entrée en vigueur du RGPD, les amendes auraient pu être beaucoup plus élevés.

Sources : DPA, ICO

Et vous ?

Qu'en pensez-vous ?

Voir aussi

Uber : le piratage des données de 2016 aurait été commis par un hacker de 20 ans payé 100 000 $ sous forme de prime de bug bounty pour son silence

Uber a été victime d'un piratage massif en 2016 et a préféré payer 100 000 dollars aux hackers pour étouffer l'affaire

Uber versera 148 millions de dollars pour régler une enquête pour violation de données, pour avoir dissimulé l'accès non autorisé au public

[Michael Guilloux]

La CNIL inflige une amende de 400 000 euros à Uber
pour le piratage dont la société a été victime en 2016

L'année passée, Uber a révélé que 57 millions de ses comptes ont été touchés par un piratage dont l'entreprise a été victime en 2016. Précisons qu'Uber avait préféré payer 100 000 dollars aux hackers pour étouffer l'affaire. Et après avoir caché cet épisode pendant un an, au moment de le révéler enfin, l’entreprise n’avait pas donné les détails sur cette violation en fonction des pays touchés. Une situation qui a poussé Mounir Mahjoubi, le secrétaire d’État chargé du Numérique, à écrire à Dara Khosrowshahi, le patron d’Uber, pour demander des explications sur ce piratage. Dans une action plus large, les gendarmes européens de la vie privée, y compris la CNIL, ont formé un groupe de travail pour enquêter sur la violation et déterminer les éventuels manquements de la société de VTC, et voir dans quelle ampleur leurs citoyens ont été touchés.

Un an plus tard, les sanctions contre Uber commencent à tomber. Fin novembre, l'autorité britannique de la protection des données a condamné Uber à une amende de 385 000 £, soit environ 434 000 € pour n'avoir pas assez protégé les informations personnelles de ses clients lors d'une cyberattaque. Au même moment, son homologue néerlandais a infligé également une amende de 600 000 € à Uber pour violation de la législation néerlandaise sur la protection des données. Au total, l'entreprise californienne a donc écopé d'une amende d'environ un million d'euros. Mais c'était avant que la France ne se prononce de son côté, ce qui vient d'être fait.

En effet, la Commission nationale informatique et libertés (CNIL) a annoncé jeudi avoir infligé une amende de 400 000 euros à Uber à la suite de ce piratage dont 1,4 million d’utilisateurs en France ont été victimes. Comme ses homologues, la CNIL juge que la société a « manqué à son obligation de sécurité des données personnelles ». À l’issue de ces investigations, « la CNIL a estimé que cette attaque n’aurait pu aboutir si certaines mesures élémentaires en matière de sécurité avaient été mises en place », a-t-elle ajouté, en rappelant que les Pays-Bas et la Grande-Bretagne avaient eux aussi déjà infligé à Uber des amendes de plusieurs centaines de milliers d’euros pour ce piratage informatique.

Précisons toutefois qu'aux États-Unis, c'est une amende bien plus lourde que devra payer la société de mise en relation de véhicules avec chauffeurs et de particuliers. Lorsque la violation de données a été rendue publique par le PDG d’Uber, cela a en effet suscité une enquête des procureurs généraux des États-Unis pour déterminer si les lois sur la notification des violations de données n’ont pas été transgressées par la société lorsqu'elle a choisi de ne pas informer les consommateurs que leurs informations avaient été compromises. « La décision d'Uber de dissimuler ce piratage était une violation flagrante de la confiance du public », a déclaré Xavier Becerra, procureur général de la Californie, dans un communiqué. « La société n'a pas réussi à protéger les données des utilisateurs et à informer les autorités lorsqu'elles ont été exposées », a-t-il ajouté.

La société de transport, qui veut retrouver la confiance des clients et chauffeurs et restaurer son image, collabore pleinement à l’enquête. Et fin septembre, le New York Times a rapporté que l'entreprise va verser 148 millions de dollars aux autorités US pour régler l'affaire. Les 148 millions de dollars qu'elle versera seront répartis entre les 50 États et le District de Columbia. La société a aussi engagé un responsable de la protection de la vie privée et un responsable de la confiance et la sécurité pour essayer de regagner la confiance des autorités et des utilisateurs.

Après ce dernier verdict, Uber s’est dit « heureux de clore ce chapitre » et a déclaré avoir renforcé la sécurité de ses systèmes depuis 2016. « Nous tirons les leçons de nos erreurs », a dit un porte-parole de la société.

Source : Reuters

Et vous ?

Qu'en pensez-vous ?

Voir aussi

Les conducteurs d'entreprises de VTC ont vu leurs gains diminuer de moitié entre 2013 et 2018, idem pour les autres travailleurs de la gig economie
Uber aurait enregistré des pertes s'élevant à 4,5 milliards USD en 2017, la majeure partie de ses revenus servirait à payer ses chauffeurs
Un expert met en cause la technologie déployée par Uber dans l'accident mortel impliquant sa voiture autonome, et livre son analyse détaillée
Uber aurait perdu 891 millions USD au 2nd trimestre 2018, les investisseurs exhorteraient la société à vendre la division de voiture autonome
Uber ferme sa division dédiée aux camions autonomes, afin de recentrer ses efforts de conduite autonome sur les voitures uniquement

[Superzest 76]

Pour 1,2 million de compte français piraté Uber doit déboursé la somme ridicule de 400 000 €.
Soit la somme incroyable de 0.33C l'utilisateur.
En sachant que

« la CNIL a estimé que cette attaque n’aurait pu aboutir si certaines mesures élémentaires en matière de sécurité avaient été mises en place »

je sais pas un tarif par utilisateur plus élevé aurais peut être enfin fait un exemple pour les autres grandes boites à mieux protéger les données utilisateur...

[tanaka59]

Bien fait pour leur tronches. Bon la fuite a eu lieu avant le 25 mai 2018. Donc normal que celle ci soit ridicule. Attendez encore un peu les cas après le 25 mai vont flamber.

Quoi que une amende avec 3 zéro de plus ne ferait pas de mal .

[Eric80]

Les agences européennes font vraiment petit bras face aux américaines!

On a donc 0.4+0.6+0.4 < 1.5 millions d' € pour UK+NL+FR, soit < 140 millions d habitants.

vs 148 millions de USD, soit 130 millions d'€ aux USA pour 350 millions d habitants.

rapport population 350/140 = 2.5

ou pour la France, 350/65 = 5.8 ; 130/5.8 = 24.

Si la Cnil avait un cadre juridique comme aux USA, c est donc 24 millions d'€ qu'elle aurait du réclamer!

[Stan Adkens]

Un ancien cadre d’Uber accusé d’avoir payé le "prix du silence" pour dissimuler une violation,
Qui a exposé les données personnelles de 57 millions de conducteurs et de passagers

L'ancien cadre supérieur d'Uber est accusé d'avoir dissimulé un piratage massif en 2016 qui a exposé les données de 57 millions de conducteurs et de passagers. Il a été licencié et fait maintenant face à des accusations criminelles. Selon les procureurs fédéraux, au lieu d’informer les régulateurs américains lorsqu’il a appris que des pirates informatiques avaient volé d'énormes quantités de données à Uber, Joe Sullivan, l'ancien chef de la sécurité de la société, a couvert la violation de données en organisant un paiement de 100 000 dollars aux cybercriminels responsables de l'attaque.

Lorsque Joe Sullivan a appris que des pirates informatiques avaient volé d'énormes quantités de données à Uber, il n'en a pas informé les régulateurs, les forces de l'ordre ou le public. Au lieu de cela, les procureurs fédéraux prétendent que le chef de la sécurité d'Uber a essayé de le cacher. Ils accusent l’ancien assistant du procureur américain dans le district nord de la Californie d’avoir pris « des mesures délibérées » pour empêcher la Commission fédérale du commerce d'apprendre l'existence du piratage alors que l'agence surveillait la sécurité d'Uber à la suite d'une infraction antérieure.

Les procureurs accusent Joe Sullivan d'obstruction à la justice et de dissimulation d'un crime pour la prétendue dissimulation. Sullivan « s'est engagé dans un plan pour cacher et dissimuler » l'infraction aux régulateurs et a omis de la signaler aux forces de l'ordre ou au public, selon une plainte déposée devant la cour fédérale de Californie jeudi. Le procureur américain David Anderson, qui a déposé les accusations contre Sullivan devant un tribunal fédéral en Californie du Nord, a dit à NPR : Nous attendons un signalement rapide des comportements criminels. Nous attendons une coopération dans le cadre de nos enquêtes. Nous ne tolérerons pas les dissimulations d'entreprises. Nous ne tolérerons pas le versement illégal de "prix du silence" ».

Selon Reuters, ce serait la première fois qu'un responsable de la sécurité de l'information d'une entreprise est accusé de dissimuler un piratage. Sullivan, bien connu dans la Silicon Valley, est le directeur de la sécurité de la société de sécurité Internet Cloudflare depuis 2018. Il a rejoint la société de covoiturage Uber en 2015 après avoir travaillé pour Facebook pendant six ans, notamment en tant que responsable de la sécurité. Et bien avant sa carrière chez les sociétés de technologie, Sullivan a passé deux ans à combattre le piratage informatique et le vole de propriétés intellectuelles en tant qu'assistant du procureur américain dans le district nord de la Californie.

Un porte-parole de Sullivan a dit dans une déclaration que les accusations n'étaient pas fondées et qu'il faisait partie d'une équipe plus large qui travaillait sur la sécurité. « Sans les efforts de Sullivan et de son équipe, il est probable que les individus responsables de cet incident n'auraient jamais été identifiés », a-t-il déclaré. Le porte-parole a déclaré que l'équipe juridique d'Uber, plutôt que celle de Sullivan, était chargée de décider si l'affaire devait être divulguée et à qui elle devait l'être.

Les auteurs de l’attaque avaient été rapidement identifiés, mais un paiement de 100 000 dollars avait été privilégié à l’époque pour étouffer l’affaire et obtenir le silence des auteurs. Il faut préciser qu’à l’époque de l’incident, Uber était en pleine discussion avec la Federal Trade Commission au sujet de sa gestion des données utilisateurs. Lors de précédentes interviews, le personnel de sécurité a déclaré que le paiement d'Uber était destiné à forcer les pirates informatiques à accepter l'argent et à s'assurer que les données, en particulier les informations du permis de conduire des entrepreneurs d'Uber, soient détruites, a rapporté Reuters.

Sullivan aurait non seulement caché la violation aux autorités, mais aussi à de nombreux autres employés d'Uber, y compris la direction générale. Toutefois, selon la plainte, le PDG d'Uber de l'époque, Travis Kalanick, était au courant de l'incident et des mesures prises par Sullivan pour le dissimuler, notamment le versement des 100 000 dollars dans le cadre du programme de "prime de bogues" d'Uber. Cependant, Kalanick n'a pas été inculpé.

Une prime aux bogues qui dépasse le « plafond nominal de 10 000 dollars » versé par l’entreprise

L’affaire remonte à novembre 2016, lorsque Sullivan a reçu un e-mail d'un hacker se faisant appeler John Doughs, qui prétendait avoir trouvé une « vulnérabilité majeure dans Uber ». L’attaquant a déclaré : « J'ai été capable de vider la base de données d’Uber et bien d'autres choses », selon la plainte. Comme dans un piratage précédent, les pirates informatiques ont obtenu des clés pour accéder aux serveurs Amazon de la société, où la société stockait des données sur les conducteurs et les clients, selon la plainte. Les cybercriminels ont mis la main sur les noms, adresses électroniques et numéros de téléphone de 57 millions de passagers et de conducteurs.

Selon la plainte des procureurs, en 2016 après avoir reçu l'e-mail des attaquants, Sullivan a rapidement informé Kalanick qu'il avait « quelque chose de sensible » à lui communiquer. Un SMS de Kalanick cité dans la plainte a proposé de payer les pirates informatiques par le biais du programme de prime aux bogues. « Il faut avoir la certitude de ce qu'il a, la sensibilité/exposition de ce qu'il a et la certitude qu'il peut vraiment traiter cela comme une situation de prime de bogues... Les ressources peuvent être flexibles afin de mettre cela de côté, mais nous devons documenter cela de façon très stricte », a écrit Kalanick à l’époque, selon la plainte.

Comme beaucoup d'entreprises technologiques, Uber paie des chercheurs en cybersécurité pour tester les vulnérabilités de ses systèmes. Mais le paiement qu'Uber a effectué dans cette affaire était bien plus important que toutes les primes de bogues que la société avait versées auparavant, selon la plainte, notant que le programme de la société « avait un plafond nominal de 10 000 dollars ».

Uber a exigé que les pirates signent des accords de non-divulgation, ce qui n'est pas non plus une pratique courante pour une prime de bug, selon la plainte. Les termes des accords disaient à tort que les pirates ne prenaient ni ne stockaient aucune donnée. « Le problème est que ce paiement n'était pas une prime de bogues », a déclaré Anderson. « Nous affirmons que cette conduite reflète la conscience de culpabilité de Sullivan et son désespoir de dissimuler ».

L'affaire pourrait trouver un écho auprès des entreprises qui traitent directement avec les pirates informatiques

Le successeur de Kalanick au poste de PDG - l'actuel chef de l'Uber, Dara Khosrowshahi - a révélé la violation en 2017, un an après, puis a licencié Sullivan et un de ses adjoints après avoir appris l'ampleur de la brèche. Uber a ensuite versé 148 millions de dollars pour régler les réclamations des 50 États américains et de Washington qu'il avait été trop lent à révéler le piratage.

L'affaire d’Uber trouvera un écho auprès du nombre croissant d'entreprises qui traitent directement avec les pirates informatiques. Beaucoup ont des programmes de primes de bogues comme celui d'Uber, qui sont généralement considérés comme un outil pour améliorer la sécurité et inciter les hackers à rester dans la légalité. Mais certains participants ne respectent pas les règles du jeu.

Selon NPR, le bureau d'Anderson a inculpé deux hommes pour cette infraction, l’année dernière. Ces derniers ont plaidé coupables de piratage informatique et d'extorsion - non seulement lors de l'intrusion d'Uber, mais aussi lors d'une violation ultérieure de la plateforme d'apprentissage Lynda.com de LinkedIn.

« Un des résultats de la dissimulation est que les pirates ont continué à pirater d'autres entreprises d'une manière similaire à ce qu'ils avaient fait à Uber », a déclaré Anderson. « Parce que le piratage d'Uber a été dissimulé, les forces de l'ordre n'ont pas été en mesure de répondre, les forces de l'ordre n'ont pas pu mettre les pirates en détention, les forces de l'ordre n'ont pas pu perturber ce qu'ils faisaient », a-t-il ajouté.

En 2017, Uber a présenté des arguments selon lesquels il ne fallait pas juger Uber pour « ce qu'une entreprise faisait alors - à l'époque où l'entreprise était beaucoup plus petite » - en fonction « des normes que l'agence juge appropriées aujourd'hui (compte tenu de la sophistication actuelle de l'entreprise et des meilleures pratiques actuelles de l'industrie) », a rappelé un commentateur.

L'affaire suggère également qu’Uber et les autres entreprises qui paient les pirates pour se débarrasser des logiciels de rançon, des programmes malveillants qui chiffrent leurs fichiers, ne sont pas exemptées de l'obligation de signaler les pertes d'informations personnelles sensibles aux autorités.

Khosrowshahi a assuré en 2017 que les données téléchargées par les cybercriminels avaient été détruites, cependant, la plainte contre Sullivan a allégué que les deux pirates ont partagé les données d’Uber qu'ils ont volées avec une troisième personne qui n'a pas été inculpée. Si Sullivan est reconnu coupable, il risque jusqu'à huit ans de prison, ainsi que des amendes potentielles allant jusqu'à 500 000 dollars, d’après NPR.

Source : Ministère de la Justice

Et vous ?

Qu’en pensez-vous ?
Pensez-vous que Sullivan est plus responsable de cette dissimulation que Kalanick, l’ancien PDG d’Uber ?

Voir aussi :

Uber a été victime d'un piratage massif en 2016 et a préféré payer 100 000 dollars aux hackers, pour étouffer l'affaire
La CNIL inflige une amende de 400 000 euros à Uber, pour le piratage dont la société a été victime en 2016
Les autorités britanniques et néerlandaises infligent une amende d'un million d'euros à Uber, pour une violation des données de ses clients en 2016
Uber et Lyft continueront à opérer en Californie, une Cour d'appel de l'État vient de leur accorder un sursis, le reclassement ou non des chauffeurs sera fixé par vote par les électeurs en novembre

[marsupial]

Rien que pour cette affaire, le RGPD trouve sa justification.

[tanaka59]

Bonjour,

Rien que pour cette affaire, le RGPD trouve sa justification.

Oui est d'ailleurs a quand une plainte en France et ailleurs en Europe ? Le RGPD doit bien servir ... à moins que rétroactivement la période d'avant mise en application n'est pas couverte ?

Qu’en pensez-vous ?

Je pense que Uber doit se prendre une bonne grosse amende ... Trop de magouille.

Pensez-vous que Sullivan est plus responsable de cette dissimulation que Kalanick, l’ancien PDG d’Uber ?

Vu les sommes engrangées par ces sociétés, plus rien ne surprend qu'ils essayent de maquiller ou magouiller ou dissimuler en cas de problème. Un problème de la sorte pour eux c'est quelques % de CA. Autant dire pas grand chose.

Les dirigeants sont tous responsables à se couvrir les uns et les autres.