Вчера компанията Uber обяви, че е изключила много от вътрешните си комуникационни канали и инженерни системи.
Това се случи след като анонимно лице е получило достъп до десетки защитени данни, за които се твърди, че включват имейли, хранилища в облака и хранилища за код.
Все още неизвестното лице, което поема отговорност, междувременно е предоставило скрийншоти от работата си като доказателство както на The New York Times, така и на инженер по сигурността в Yuga Labs. Скрийншотовете разкриват, че хакерът е получил зашеметяващо изчерпателен и потенциално опустошителен достъп до вътрешната работа на Uber.
И то използвайки един от най-простите и стари трикове в книгата
Иначе казано, измамил е служител на Uber да му даде паролата си. По-официалният термин, който се използва в света на киберсигурността, е „социално инженерство„. Използване от хакери на човешко взаимодействие (социални умения), за да получат или компрометират информация за дадена организация или нейните компютърни системи.
В този случай лицето е изпратило текстово съобщение на служител на Uber, представяйки се за ИТ служител. Успява да го убеди да предаде паролата си.
Оттам получава достъп до системите на Uber и превзема профила на служителя в Slack. Първо публикува съобщение до служителите:
„Обявявам, че съм хакер и Uber е претърпяла нарушение на сигурността на данните“.
След това продължава с това, че шофьорите на Uber трябва да получават по-високо заплащане. Ню Йорк Таймс отбелязва също, че чрез Slack хакерът е получил достъп до още повече системи. До толкова, че попада на доста „откровена“ снимка на служител на компанията.
Обществеността често свързва хакерските атаки със сложни кибератаки, използващи неразгадаеми езици за програмиране. В много от случаите обаче действията се свеждат до сравнително прости измами със социално инженерство и фишинг.
Според един доклад само три процента от всички зловредни програми се опитват да използват технически проблеми. Останалите 97 процента са просто уловки. През 2020 г. подобни стратегии са били използвани от тийнейджъри, за да получат успешно достъп до сървърите на Twitter.
Други са използвали социално инженерство, докато са атакували Microsoft по-рано тази година.
Не е ясно докъде ще стигне тази последна сага с участието на социалното инженерство
Един от експертите по сигурността, с които са говорили от The NY Times има интересно предположение.
Изглежда, че може би става въпрос за едно дете, което е попаднало в Uber и не знае какво да прави с него. И сега със сигурност си прекарва времето на живота си.
Във всеки случай това е сериозно напомняне да проверите два пъти самоличността на следващото случайно съобщение, което получавате от вашия „шеф“ или „колега от ИТ отдела“.