Violation de données et dissimulation Uber 2016

Le 21 novembre 2017, plus d'un an après les faits, Uber a révélé que des attaquants avaient volé les données personnelles de 57 millions de passagers et chauffeurs en octobre 2016 — et que l'entreprise avait payé les pirates 100 000 dollars pour acheter leur silence plutôt que de signaler la violation. L'incident est devenu l'étude de cas de référence en matière de dissimulation de violation par une entreprise, et la première poursuite américaine d'un dirigeant pour avoir caché un tel incident.

Ce qui s'est passé

En octobre 2016, deux attaquants — identifiés par la suite comme Brandon Glover et Vasile Mereacre — ont obtenu l'accès à un dépôt GitHub privé d'Uber utilisé par les ingénieurs de l'entreprise. Ils y ont trouvé des identifiants Amazon Web Services valides pour le stockage cloud d'Uber. À l'aide de ces clés, ils ont téléchargé une archive de sauvegarde contenant des dossiers de passagers et de chauffeurs.

Le butin comprenait les noms, adresses électroniques et numéros de téléphone mobile d'environ 57 millions d'utilisateurs dans le monde, ainsi que les numéros de permis de conduire d'environ 600 000 chauffeurs américains.

La dissimulation

Au lieu de divulguer la violation aux régulateurs et aux personnes concernées — comme l'exigent les lois sur la notification des violations de données, et alors qu'Uber faisait déjà l'objet d'une enquête active de la FTC à la suite d'un incident antérieur en 2014 — la direction de la sécurité d'Uber a choisi la dissimulation.

Le directeur de la sécurité (RSSI) Joe Sullivan et son équipe ont payé aux attaquants 100 000 dollars en bitcoin et leur ont fait signer des accords de confidentialité attestant faussement qu'aucune donnée n'avait été dérobée. Le paiement a été acheminé via le programme de prime de bug HackerOne d'Uber pour le faire passer pour une récompense de sécurité de routine, alors même que le plafond habituel de ces primes à l'époque ne représentait qu'une fraction de cette somme.

La violation est restée cachée jusqu'à ce que le nouveau PDG Dara Khosrowshahi en prenne connaissance et la rende publique en novembre 2017.

Impact

• 57 millions de dossiers de passagers et de chauffeurs exposés, dont 600 000 numéros de permis de conduire.
• Un règlement de 148 millions de dollars en septembre 2018 avec les procureurs généraux des 50 États américains et du district de Columbia — à l'époque le plus important règlement multi-États jamais conclu pour une violation de données.
• Une ordonnance élargie de la FTC imposant 20 ans d'audits de confidentialité.
• Les deux extorqueurs, Glover et Mereacre, ont plaidé coupables d'accusations fédérales de fraude informatique en 2019.
• Le RSSI Joe Sullivan a été condamné au pénal en 2022 pour entrave à la FTC et non-dénonciation d'un crime, et condamné à trois ans de probation et à une amende de 50 000 dollars — la première fois qu'un cadre dirigeant de la sécurité d'une entreprise encourait une responsabilité pénale pour la dissimulation d'une violation.

Pourquoi c'est important

L'affaire Uber a redessiné la frontière entre un incident de sécurité et un délit. La violation elle-même était banale — des identifiants cloud divulgués dans un dépôt de code, un schéma répété dans tout le secteur. Ce qui l'a rendue historique, c'est la décision de la dissimuler et de déguiser un paiement d'extorsion en prime de bug. La condamnation de Sullivan a envoyé un message sans ambiguïté à chaque RSSI : l'obligation de divulguer est une obligation légale, et non un choix discrétionnaire, et un dirigeant qui enterre une violation peut être tenu personnellement et pénalement responsable.