Violation de données et dissimulation Uber 2016
Des attaquants ont volé les données personnelles de 57 millions de passagers et chauffeurs Uber en octobre 2016. Plutôt que de divulguer l'incident, Uber a versé aux pirates une rançon de 100 000 dollars en la déguisant en prime de bug — une dissimulation qui a entraîné un règlement de 148 millions de dollars avec les États et la condamnation pénale du responsable de la sécurité d'Uber.
- Victime
- Uber Technologies, Inc.
- Perte
- $148.0M
- données
- 57.0M
- utilisateurs
- 57.0M
Le 21 novembre 2017, plus d'un an après les faits, Uber a révélé que des attaquants avaient volé les données personnelles de 57 millions de passagers et chauffeurs en octobre 2016 — et que l'entreprise avait payé les pirates 100 000 dollars pour acheter leur silence plutôt que de signaler la violation. L'incident est devenu l'étude de cas de référence en matière de dissimulation de violation par une entreprise, et la première poursuite américaine d'un dirigeant pour avoir caché un tel incident.
Ce qui s'est passé
En octobre 2016, deux attaquants — identifiés par la suite comme Brandon Glover et Vasile Mereacre — ont obtenu l'accès à un dépôt GitHub privé d'Uber utilisé par les ingénieurs de l'entreprise. Ils y ont trouvé des identifiants Amazon Web Services valides pour le stockage cloud d'Uber. À l'aide de ces clés, ils ont téléchargé une archive de sauvegarde contenant des dossiers de passagers et de chauffeurs.
Le butin comprenait les noms, adresses électroniques et numéros de téléphone mobile d'environ 57 millions d'utilisateurs dans le monde, ainsi que les numéros de permis de conduire d'environ 600 000 chauffeurs américains.
La dissimulation
Au lieu de divulguer la violation aux régulateurs et aux personnes concernées — comme l'exigent les lois sur la notification des violations de données, et alors qu'Uber faisait déjà l'objet d'une enquête active de la FTC à la suite d'un incident antérieur en 2014 — la direction de la sécurité d'Uber a choisi la dissimulation.
Le directeur de la sécurité (RSSI) Joe Sullivan et son équipe ont payé aux attaquants 100 000 dollars en bitcoin et leur ont fait signer des accords de confidentialité attestant faussement qu'aucune donnée n'avait été dérobée. Le paiement a été acheminé via le programme de prime de bug HackerOne d'Uber pour le faire passer pour une récompense de sécurité de routine, alors même que le plafond habituel de ces primes à l'époque ne représentait qu'une fraction de cette somme.
La violation est restée cachée jusqu'à ce que le nouveau PDG Dara Khosrowshahi en prenne connaissance et la rende publique en novembre 2017.
Impact
- 57 millions de dossiers de passagers et de chauffeurs exposés, dont 600 000 numéros de permis de conduire.
- Un règlement de 148 millions de dollars en septembre 2018 avec les procureurs généraux des 50 États américains et du district de Columbia — à l'époque le plus important règlement multi-États jamais conclu pour une violation de données.
- Une ordonnance élargie de la FTC imposant 20 ans d'audits de confidentialité.
- Les deux extorqueurs, Glover et Mereacre, ont plaidé coupables d'accusations fédérales de fraude informatique en 2019.
- Le RSSI Joe Sullivan a été condamné au pénal en 2022 pour entrave à la FTC et non-dénonciation d'un crime, et condamné à trois ans de probation et à une amende de 50 000 dollars — la première fois qu'un cadre dirigeant de la sécurité d'une entreprise encourait une responsabilité pénale pour la dissimulation d'une violation.
Pourquoi c'est important
L'affaire Uber a redessiné la frontière entre un incident de sécurité et un délit. La violation elle-même était banale — des identifiants cloud divulgués dans un dépôt de code, un schéma répété dans tout le secteur. Ce qui l'a rendue historique, c'est la décision de la dissimuler et de déguiser un paiement d'extorsion en prime de bug. La condamnation de Sullivan a envoyé un message sans ambiguïté à chaque RSSI : l'obligation de divulguer est une obligation légale, et non un choix discrétionnaire, et un dirigeant qui enterre une violation peut être tenu personnellement et pénalement responsable.
Impact financier
Coûts déclarés en USD
- Rançon payée$100.0K
- Perte d’exploitation$148.0M
Chronologie
Des attaquants accèdent à un dépôt GitHub privé d'Uber, y trouvent des identifiants AWS et téléchargent une sauvegarde contenant les données de 57 millions de passagers et chauffeurs.
Les attaquants envoient un courriel à Uber réclamant un paiement. L'équipe de sécurité, dirigée par le RSSI Joe Sullivan, verse 100 000 dollars en bitcoin et fait signer aux pirates des accords de confidentialité.
Uber déguise le paiement en récompense de « prime de bug » et n'avertit ni les régulateurs ni les utilisateurs concernés.
Le nouveau PDG d'Uber, Dara Khosrowshahi, divulgue publiquement la violation et la dissimulation, plus d'un an après les faits.
Uber accepte un règlement élargi avec la Federal Trade Commission américaine au sujet de la violation et de sa gestion.
Uber conclut un règlement de 148 millions de dollars avec les procureurs généraux des 50 États et de Washington, D.C.
Brandon Glover et Vasile Mereacre plaident coupables d'accusations fédérales de fraude informatique pour l'extorsion.
Un jury fédéral reconnaît l'ancien RSSI Joe Sullivan coupable d'entrave à une procédure de la FTC et de non-dénonciation d'un crime pour avoir dissimulé la violation.
Sources
- justice.govhttps://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-convicted-federal-charges-covering-data-breach
- npr.orghttps://www.npr.org/2018/09/27/652119109/uber-pays-148-million-over-year-long-cover-up-of-data-breach
- ftc.govhttps://www.ftc.gov/news-events/news/press-releases/2018/04/uber-agrees-expanded-settlement-ftc-related-privacy-security-claims
- techtarget.comhttps://www.techtarget.com/searchsecurity/news/252525808/Former-Uber-CSO-Joe-Sullivan-found-guilty-in-breach-cover-up