ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Uber, settembre 2022: entrare insistendo con le notifiche
A settembre 2022 un attaccante ha usato la password di un collaboratore esterno di Uber, comprata secondo l'azienda nel dark web, e lo ha sommerso di richieste di approvazione finché una è stata accettata. È entrato in Slack, G Suite e negli strumenti interni; Uber ha collegato l'attacco a Lapsus$, e nel 2023 un tribunale di Londra ha giudicato colpevole un suo membro diciottenne.
- Vittima
- Uber
- Settore
- Trasporto e consegne
- Paese
- Stati Uniti, con attività in tutto il mondo
- Data
- 15 settembre 2022
- Categoria
- Violazione di dati personali
- Causa
- Phishing
- Attore
- Criminale (confermato). Lapsus$, secondo Uber
- Scenari di danno
- Responsabilità verso terzi
Le cause in breve
- Password rubata. Le credenziali del collaboratore erano state sottratte da un malware sul suo dispositivo personale (Help Net Security).
- Stanchezza da notifiche. Richieste ripetute di accesso a due fattori, fino all'approvazione dell'utente (Help Net Security).
- Permessi crescenti. Dal primo account l'attaccante è passato ad altri e ha ottenuto permessi più alti (Help Net Security).
L'impatto
- Messaggio pubblicato su un canale Slack di tutta l'azienda e immagini esplicite su siti interni (Help Net Security).
- Scaricati messaggi Slack interni e dati di uno strumento finanziario per le fatture (Help Net Security).
- Accesso alla piattaforma delle segnalazioni di vulnerabilità HackerOne (Help Net Security).
- Secondo Uber nessun accesso ai sistemi dell'app, ai conti degli utenti o ai database di produzione (Help Net Security).
- Ad agosto 2023 Arion Kurtaj, membro di Lapsus$, è stato riconosciuto responsabile dell'attacco da un tribunale di Londra (The Record).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeIl ripristino degli accessi e delle configurazioni modificate, come il DNS interno, rientra nel ripristino.
- Business interruption propriaNon pertinenteI servizi per i clienti non si sono fermati.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRisponde con limitiUber non ha trovato accessi ai dati degli utenti: la garanzia risponde solo per eventuali dati di dipendenti o fornitori.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di terzi sono possibili per i dati delle fatture, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Danno di reputazione. L'imbarazzo pubblico non è un danno coperto nelle polizze standard.
- Collaboratori esterni. Un accesso partito dal dispositivo personale di un collaboratore può essere contestato se la polizza richiede dispositivi gestiti.
- Franchigia. Per un'azienda grande, il costo di un incidente così può restare dentro la franchigia.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Danno economico contenuto, ma un accesso molto ampio ai sistemi interni con una tecnica semplice.
Nessun segnale di cumulo.