Uber зламали за допомогою простої методики, яка також може підійти вашому бізнесу

Здається, невідомий хакер зламав системи безпеки Uber і отримав доступ до великої кількості даних, використовуючи просту техніку, яка рівнозначна переслідуванню працівників, доки вони не дозволять використовувати свої мобільні телефони. Ця тактика, імовірно, спрацює для більшості підприємств, можливо навіть для вас.

«Привіт, @here! Я повідомляю, що я хакер, і [ваша компанія] зазнала витоку даних». Що б ви зробили, якби кожен із ваших співробітників отримав це повідомлення через Slack або іншу корпоративну систему обміну повідомленнями? Співробітники Uber отримали те саме повідомлення, згідно з повідомленнями новин, і хакер також нібито опублікував відверту фотографію на внутрішній сторінці співробітника.

Компанія підтвердила, що зазнала кібератаки. Uber запевнив громадськість, що «не бачив», щоб особисті дані клієнтів або історія поїздок були скомпрометовані. Але судячи зі скріншотів, якими поділився хакер, він отримав доступ високого рівня до систем Uber, тож, можливо, він просто вирішив не отримувати доступу до цієї інформації. (Згідно з New York Times, хакер — чоловік.) Схоже, він не шукав дані, які міг би продати; швидше, його наміром, схоже, було збентежити Uber. Один із його постів містив підпис «uberunderpaisdrives».

Незважаючи на те, що жодна з даних клієнтів Uber, очевидно, не потрапила в руки хакера, це порушення та інші нещодавні порушення мають викликати у вас занепокоєння, оскільки існує велика ймовірність того, що така ж тактика може спрацювати проти вашого бізнесу чи будь-якої компанії ви ведете бізнес з. Згідно із заявою, розміщеною на веб-сайті Uber, хакер отримав доступ до систем Uber через підрядника. Підрядник мав пристрій, скомпрометований шкідливим програмним забезпеченням, що дозволило хакерам отримати доступ до імені користувача та пароля підрядника. Uber вважає, що хакер купив ці облікові дані в темній мережі.

Але Uber також використовує двофакторну автентифікацію, або MFA. У своїй найпоширенішій формі MFA вимагає від користувачів надати код, який надсилається їм у текстовому вигляді, але в багатьох випадках користувачам просто потрібно відповісти на push-повідомлення на своєму смартфоні. Причина полягає в тому, що якщо хтось, хто намагається ввійти, може підтвердити, що він фізично володіє смартфоном, пов’язаним із цим обліковим записом, він має бути власником облікового запису.

Хакери знайшли способи обійти цю систему, обманом змусивши користувачів допомогти їм, технологія під назвою «віддалена соціальна інженерія». Вони намагаються увійти знову і знову, надсилаючи потоки push-запитів користувачам із проханням підтвердити вхід. Тоді хакер видає себе за члена технічної групи компанії та просить їх схвалити підключення. У цьому випадку хакер, очевидно, намагався увійти знову і знову протягом години, надсилаючи годинну серію push-повідомлень на телефон підрядника – достатньо, щоб будь-хто захотів це зробити. Потім хакер надіслав повідомлення, назвавши себе членом IT-команди Uber, і попросив підрядника підтвердити вхід на його телефоні. Підрядник погодився, напевно, з деяким полегшенням. Цей тип атаки іноді називають "атакою виснаження".

Ці атаки стають все більш поширеними, сказав Wired експерт з безпеки Седрік Оуен. «Такі правопорушення мене вже не дивують». Що ви можете зробити, щоб захистити свій бізнес?

1. Поширюйте інформацію.

Напади виснаження працюють, тому що люди про них не знають. Тому переконайтеся, що ваші співробітники, колеги та ділові партнери знають про них. Попередьте їх, що якщо вони отримають серію push-сповіщень про вхід, яких вони не очікували, це, швидше за все, від хакера, і вони повинні негайно попередити вашу технічну команду.

2. Зробити це складніше.

Надання шестизначного коду вимагає трохи більше зусиль, ніж проста відповідь «так» на push-сповіщення. Мимовільних працівників усе ще можна обманом змусити зробити це, але додатковий крок дає їм трохи більше часу, щоб зрозуміти, чи справді це потрібно. Це також додає додатковий крок для хакера, оскільки тепер вони повинні якось отримати код від законного користувача.

3. Розглянемо фізичний ключ.

Google і компанія безпеки Cloudflare кажуть...