fbpx
sábado, febrero 24, 2024
InicioHemerotecaUber sufre ciberataque

Uber sufre ciberataque

Uber reveló el martes que piratas informáticos habían robado 57 millones de cuentas de conductores y pasajeros; la empresa había decidido mantener el ataque en secreto por más de un año después de pagar un rescate de 100.000 dólares.

El acuerdo fue organizado por el jefe de seguridad de la compañía y contó con la supervisión del expresidente ejecutivo, Travis Kalanick, según varios empleados actuales y antiguos que hablaron bajo la condición de mantener el anonimato, porque los detalles de la operación son privados.

El oficial de seguridad, Joe Sullivan, fue despedido. Kalanick fue removido de su cargo en junio, aunque permanece en el directorio de Uber.

Según contaron los empleados, dos hackers robaron datos sobre los clientes y conductores de la compañía, incluidos los números de teléfono, direcciones de correo electrónico y nombres. Luego se acercaron a Uber y exigieron 100.000 dólares para eliminar su copia de los datos.

Uber aceptó las exigencias de los atacantes y luego dio un paso más allá. La compañía rastreó a los piratas informáticos y los obligó a firmar acuerdos de confidencialidad, según las personas familiarizadas con la operación. Para ocultar aún más el daño, los ejecutivos de Uber también hicieron parecer que el pago había sido parte de una “recompensa por errores”, una práctica común entre las compañías de tecnología en la que se le paga a los piratas informáticos para que ataquen su software con el fin de detectar puntos débiles.

Los detalles del ataque permanecieron en secreto hasta el martes. La compañía dijo que descubrió la violación como parte de una investigación sobre las prácticas comerciales de Uber.

El ataque de Uber está lejos de ser la exposición más seria de los datos privados de clientes. Las dos filtraciones reveladas por Yahoo en 2016 eclipsan a la falla de Uber, y un ataque divulgado en septiembre por Equifax, la agencia de informes de crédito al consumidor, expuso un tesoro de información personal mucho más profundo para un grupo mucho más grande de personas.

Pero el manejo del ataque muestra hasta qué punto los ejecutivos de Uber estaban dispuestos a proteger la reputación y los negocios del gigante de 70.000 millones de dólares, incluso a costa de defraudar la confianza de sus usuarios y, quizá lo más importante, las leyes estatales y federales. La oficina del fiscal general de Nueva York dijo el martes que abrió una investigación sobre el asunto.

Dara Khosrowshahi, quien fue escogido como el director ejecutivo de uber a fines de agosto, dijo que solo recientemente se había enterado de la violación.

“Nada de esto debería haber sucedido, y no tengo excusas para eso”, dijo Khosrowshahi en un comunicado publicado en el blog de la compañia. “Si bien no puedo borrar el pasado, puedo comprometerme en nombre de cada empleado de Uber que aprenderemos de nuestros errores. Estamos cambiando la forma en que hacemos negocios, colocando la integridad en el centro de cada decisión que tomamos y trabajando duro para ganarnos la confianza de nuestros clientes”. Una portavoz de Kalanick no quiso hacer ningún comentario.

La revelación de la violación de seguridad y la forma en que se mantuvo en secreto renuevan las preguntas sobre la permanencia de Kalanick, quien ha enfrentado críticas por su estilo de gestión y prácticas después de que Uber fuera objeto de escrutinio por su cultura laboral este año. The New York Times también informó sobre un programa secreto llamado Grevball que se había llevado a cabo bajo la supervisión de Kalanick, en el que los miembros del personal de Uber vigilaban a los agentes policiales con el fin de evadirlos. Desde su salida como director ejecutivo, uno de los primeros inversionistas de Uber lo demandó por fraude.

La falla de seguridad también afecta a Sullivan, quien fue una figura prominente de la industria de seguridad informática. Sullivan fue el primer director de seguridad de la compañía en 2015, después de haber sido el jefe de seguridad de Facebook durante siete años.

A diferencia de muchos ejecutivos de seguridad cibernética, Sullivan también es abogado y estudió delitos cibernéticos en la Universidad de Miami. Comenzó su carrera en la industria de la tecnología como fiscal federal durante el auge tecnológico de fines de la década de 1990, trabajando en empresas como eBay, donde fue el jefe de confianza y seguridad en 2002.

Cuando Uber tomó la decisión de contratar a Sullivan, muchos lo vieron como una victoria para la compañía. A medida que el número de clientes y conductores de Uber iba creciendo, también comenzaron las preocupaciones por la privacidad y seguridad. Uber había enfrentado quejas sobre agresiones de clientes y conductores, así como acusaciones de que no estaba haciendo lo suficiente para proteger los datos de los usuarios. Sullivan tuvo la tarea de mantener a los conductores y clientes a salvo.

Además de Sullivan, también despidieron a Craig Clark, director legal de seguridad de Uber. Ni Sullivan ni Clark respondieron a las solicitudes de declaraciones.

La decisión de la empresa de ocultar la falla y pagar el rescate rápidamente suscita dudas entre los expertos en seguridad. Muchos le han advertido a las empresas de forma reiterada que no paguen los rescates de los piratas informáticos para ocultar infracciones o devolver datos robados, un consejo que fue incluido en una declaraciones del FBI en 2016. Y varios estados, incluido California, tienen leyes que obligan a las empresas a divulgar cuando son atacadas por piratas informáticos.

“Las empresas están financiando el crimen organizado, se está creando una industria de delincuentes”, dijo Kevin Beaumont, un experto en ciberseguridad del Reino Unido. “Los chicos buenos están creando un mercado para los malos. Les estamos permitiendo monetizar lo que hace unos años solo eran adolescentes que desde sus cuartos atacaban a las empresas por pura diversión”.

Uber ya ha experimentado ataques. La empresa sufrió una violación de datos en mayo de 2014, un ataque que Uber descubrió más tarde ese año y se revelo en febrero de 2015. En ese ataque, los nombres y las licencias de conducir de más de 50.000 conductores se vieron comprometidos.

Esta última violación pone a Uber en otra situación difícil justo cuando la compañía está trabajando para reparar su imagen y prepararse para buscar una oferta pública inicial en 2019. Khosrowshahi ha calificado su presencia en la compañía como “Uber 2.0”. Como parte de eso intenta desechar los valores corporativos agresivos que Kalanick instauró y le dio al servicio de transporte una nueva lista de valores que incluye la frase “hacer lo correcto. Punto”.

Uber contrató a Matt Olsen, exasesor general de la Agencia de Seguridad Nacional, como asesor, y a Mandiant, una firma de seguridad, para llevar a cabo una investigación independiente de la violación de seguridad. Uber dijo que Olsen planea reorganizar el equipo de seguridad de la compañía.

Pero el daño ya está hecho, y los directivos de Uber están conscientes del largo camino que les toca transitar para volver a recuperar la confianza del público. Si bien no es ilegal pagarle a los hackers, Uber puede haber violado varias leyes al relacionarse con ellos.

Al exigir que los atacantes destruyan los datos robados, Uber puede haber violado una regla de la Comisión Federal de Comercio sobre la divulgación de violaciones que prohíbe a las empresas destruir cualquier evidencia forense en el curso de su investigación.

La compañía también puede haber violado las leyes estatales de divulgación de infracciones al no revelar el robo de los datos de los conductores de Uber. Si los datos robados no estuviesen encriptados, la ley del estado de California le habría exigido a Uber que divulgara los datos de las licencias de conducir de los choferes que fueron robados en el ataque.

Un portavoz de Uber se negó a comentar sobre esta situación.

RELATED ARTICLES

Most Popular

Recent Comments

Usamos cookies para personalizar el contenido y los anuncios, para proporcionar funciones de redes sociales y para analizar nuestro tráfico. También compartimos información sobre su uso de nuestro sitio con nuestros socios de redes sociales, publicidad y análisis. View more
Cookies settings
Aceptar
Privacy & Cookie policy
Privacy & Cookies policy
Cookie name Active

Who are we?

Our website address is: https://elurbano.news.

What personal data we collect and why we collect it

comments

When visitors leave comments on the site we collect the data shown in the comments form, and also the visitor’s IP address and browser user agent string to help spam detection. An anonymized string created from your email address (also called a hash) may be provided to the Gravatar service to see if you are using it. The Gravatar service privacy policy is available here: https://automattic.com/privacy/. After approval of your comment, your profile picture is visible to the public in the context of your comment.

Media

If you upload images to the website, you should avoid uploading images with embedded location data (EXIF GPS) included. Visitors to the website can download and extract any location data from images on the website.

Contact forms

Cookies

If you leave a comment on our site you may opt-in to saving your name, email address and website in cookies. These are for your convenience so that you do not have to fill in your details again when you leave another comment. These cookies will last for one year. If you visit our login page, we will set a temporary cookie to determine if your browser accepts cookies. This cookie contains no personal data and is discarded when you close your browser. When you log in, we will also set up several cookies to save your login information and your screen display choices. Login cookies last for two days, and screen options cookies last for a year. If you select "Remember Me", your login will persist for two weeks. If you log out of your account, the login cookies will be removed. If you edit or publish an article, an additional cookie will be saved in your browser. This cookie includes no personal data and simply indicates the post ID of the article you just edited. It expires after 1 day.

Embedded content from other websites

Articles on this site may include embedded content (eg videos, images, articles, etc.). Embedded content from other websites behaves in the exact same way as if the visitor has visited the other website. These websites may collect data about you, use cookies, embed additional third-party tracking, and monitor your interaction with that embedded content, including tracking your interaction with the embedded content if you have an account and are logged in to that website.

Analytics

Who we share your data with

If you request a password reset, your IP address will be included in the reset email.

How long we retain your data

If you leave a comment, the comment and its metadata are retained indefinitely. This is so we can recognize and approve any follow-up comments automatically instead of holding them in a moderation queue. For users that register on our website (if any), we also store the personal information they provide in their user profile. All users can see, edit, or delete their personal information at any time (except they cannot change their username). Website administrators can also see and edit that information.

What rights you have over your data

If you have an account on this site, or have left comments, you can request to receive an exported file of the personal data we hold about you, including any data you have provided to us. You can also request that we erase any personal data we hold about you. This does not include any data we are obliged to keep for administrative, legal, or security purposes.

Where we send your data

Visitor comments may be checked through an automated spam detection service.

Your contact information

Other information

How we protect your data

What data breach procedures we have in place

What third parties we receive data from

What automated decision making and/or profiling we do with user data

Industry regulatory disclosure requirements

Save settings
Cookies settings
Open