На этой неделе прокуратура Северной Калифорнии предъявила обвинения бывшему главе безопасности Uber, 52-летнему Джо Салливану (Joe Sullivan), который занимал данный пост с апреля 2015 года по ноябрь 2017 года. Его обвиняют в сокрытии информации о взломе компании в 2016 году, а также в причастности к этому взлому. Тогда в результате атаки
личные данные 57 000 000 клиентов Uber, а также данные 600 000 водителей.
Согласно , Салливан «предпринял преднамеренные шаги для сокрытия [инцидента], а также для отвлечения и введения в заблуждение Федеральной торговой комиссии». Кроме того, прокурор Дэвид Андерсон заявил, что скрывая взлом Uber от властей и собственного руководства, Салливан косвенно помогал хакерам взламывать другие компании.
Также весьма иронично, что до Uber Салливан два года занимался киберкриминалистикой и расследованием преступлений, связанных с взломом компьютеров. Он работал помощником прокурора США в том же офисе, который теперь предъявил ему обвинения.
Взлом
Напомню, что за прошедшие годы следствие установило, что за взломом компании Uber стояли 26-летний американец Брэндон Гловер (Brandon Glover) и 23-летний канадец Василь Мереакр (Vasile Mereacre). Осенью 2019 года они в хищении данных 57 000 000 пассажиров и водителей Uber, а также данных 90 000 пользователей Lynda.com.
По информации из , в 2016 году эти двое воспользовались «собственным инструментом для проверки учетных записей GitHub» и попробовали применить к аккаунтам GitHub учетные данные от других сайтов, ранее утекшие в открытый доступ. При этом взломщики нацеливались на корпоративных сотрудников, чтобы взломать наиболее ценные учетные записи и найти конфиденциальную информацию.
После проникновения в чужие аккаунты GitHub, Гловер и Мереакр искали учетные данные от Amazon Web Services (AWS), которые затем использовали для подключения к бэкэндам компаний и получения конфиденциальной информации (сведений о пользователях или бэкапов). Именно таким способом были похищены данные Uber, а также данные пользователей сайта Lynda.com, принадлежащего LinkedIn.
Однако просто украсть данные хакерам было мало. После взломов они принялись шантажировать пострадавшие компании. Для этого они создали ящик на Protonmail и вышли на связь с компаниями. Так, согласно данным следствия, в начале ноября 2016 года они связались с Салливаном по почте и заявили, что «обнаружили серьезную уязвимость», предоставив образец украденных данных. Гловер и Мереакр потребовали выплатить им 100 000 долларов в криптовалюте за обнаружение уязвимости.
Прокуроры говорят, что Салливан и его команда безопасности подтвердили достоверность присланных хакерами образцов данных в течение 24 часов после получения письма. Однако вместо того, чтобы уведомить об инциденте Федеральную торговую комиссую, как предписывает закон, Салливан согласился заплатить хакерам требуемую сумму, тем самым купив их молчание.
В судебных бумагах приводятся разговоры Салливана с Трэвисом Калаником (Travis Kalanick), тогда занимавшим должность генерального директора Uber. Они обсудили взлом, и Каланик дал добро на выплату хакерам выкупа, замаскированного под вознаграждение по программе bug bounty.
В итоге платеж был проведен через программу вознаграждения за уязвимости на HackerOne, и при этом Uber потребовала, чтобы хакеры подписали соглашение о неразглашении, которое запрещало им использование данных и публичное раскрытие информации о взломе. При этом в компании по-прежнему не знали даже настоящих имен взломщиков. В итоге свою «награду» Гловер и Мереакр получили в декабре 2016 года.
Следователи отмечают, что в конечном итоге команда безопасности Uber все же выследила и идентифицировала обоих хакеров, но вместо того, чтобы уведомить о случившемся власти, Салливан вынудил Гловера и Мереакра повторно подписать соглашение о неразглашении, на этот раз с указанием их настоящих имен. Хуже того, Салливан якобы настоял на том, чтобы хакеры подписали документ, согласно которому, они вообще не похищали никаких данных у Uber, хотя это было ложью.
Когда тайное стало явным
Правда о случившемся лишь в конце 2017 году, когда в Uber сменилось руководство, а Трэвиса Каланика на посту главы компании сменил Дара Хосровшахи (Dara Khosrowshahi).
Минюст США сообщает, что Салливан уведомил новое руководство об инциденте 2016 года, однако он продолжил скрывать важные подробности взлома.
Интересно, что теперь представители Джо Салливана утверждают, что обвинения Министерства юстиции не имеют под собой юридических оснований. Они распространили в СМИ следующее заявление:
Согласно , Салливан «предпринял преднамеренные шаги для сокрытия [инцидента], а также для отвлечения и введения в заблуждение Федеральной торговой комиссии». Кроме того, прокурор Дэвид Андерсон заявил, что скрывая взлом Uber от властей и собственного руководства, Салливан косвенно помогал хакерам взламывать другие компании.
Если Салливан будет признан виновным по обоим обвинениям, ему грозит тюремное заключение сроком на пять лет и три года соответственно.
Также весьма иронично, что до Uber Салливан два года занимался киберкриминалистикой и расследованием преступлений, связанных с взломом компьютеров. Он работал помощником прокурора США в том же офисе, который теперь предъявил ему обвинения.
Взлом
Напомню, что за прошедшие годы следствие установило, что за взломом компании Uber стояли 26-летний американец Брэндон Гловер (Brandon Glover) и 23-летний канадец Василь Мереакр (Vasile Mereacre). Осенью 2019 года они в хищении данных 57 000 000 пассажиров и водителей Uber, а также данных 90 000 пользователей Lynda.com.
По информации из , в 2016 году эти двое воспользовались «собственным инструментом для проверки учетных записей GitHub» и попробовали применить к аккаунтам GitHub учетные данные от других сайтов, ранее утекшие в открытый доступ. При этом взломщики нацеливались на корпоративных сотрудников, чтобы взломать наиболее ценные учетные записи и найти конфиденциальную информацию.
После проникновения в чужие аккаунты GitHub, Гловер и Мереакр искали учетные данные от Amazon Web Services (AWS), которые затем использовали для подключения к бэкэндам компаний и получения конфиденциальной информации (сведений о пользователях или бэкапов). Именно таким способом были похищены данные Uber, а также данные пользователей сайта Lynda.com, принадлежащего LinkedIn.
Однако просто украсть данные хакерам было мало. После взломов они принялись шантажировать пострадавшие компании. Для этого они создали ящик на Protonmail и вышли на связь с компаниями. Так, согласно данным следствия, в начале ноября 2016 года они связались с Салливаном по почте и заявили, что «обнаружили серьезную уязвимость», предоставив образец украденных данных. Гловер и Мереакр потребовали выплатить им 100 000 долларов в криптовалюте за обнаружение уязвимости.
Прокуроры говорят, что Салливан и его команда безопасности подтвердили достоверность присланных хакерами образцов данных в течение 24 часов после получения письма. Однако вместо того, чтобы уведомить об инциденте Федеральную торговую комиссую, как предписывает закон, Салливан согласился заплатить хакерам требуемую сумму, тем самым купив их молчание.
В судебных бумагах приводятся разговоры Салливана с Трэвисом Калаником (Travis Kalanick), тогда занимавшим должность генерального директора Uber. Они обсудили взлом, и Каланик дал добро на выплату хакерам выкупа, замаскированного под вознаграждение по программе bug bounty.
В итоге платеж был проведен через программу вознаграждения за уязвимости на HackerOne, и при этом Uber потребовала, чтобы хакеры подписали соглашение о неразглашении, которое запрещало им использование данных и публичное раскрытие информации о взломе. При этом в компании по-прежнему не знали даже настоящих имен взломщиков. В итоге свою «награду» Гловер и Мереакр получили в декабре 2016 года.
Следователи отмечают, что в конечном итоге команда безопасности Uber все же выследила и идентифицировала обоих хакеров, но вместо того, чтобы уведомить о случившемся власти, Салливан вынудил Гловера и Мереакра повторно подписать соглашение о неразглашении, на этот раз с указанием их настоящих имен. Хуже того, Салливан якобы настоял на том, чтобы хакеры подписали документ, согласно которому, они вообще не похищали никаких данных у Uber, хотя это было ложью.
Когда тайное стало явным
Правда о случившемся лишь в конце 2017 году, когда в Uber сменилось руководство, а Трэвиса Каланика на посту главы компании сменил Дара Хосровшахи (Dara Khosrowshahi).
Минюст США сообщает, что Салливан уведомил новое руководство об инциденте 2016 года, однако он продолжил скрывать важные подробности взлома.
Детали случившегося и роль Салливана в произошедшем стали открываться лишь после того, как Дара Хосровшахи публично сообщил о взломе, а ФБР занялось расследованием, арестовало хакеров и получило доступ к внутренним коммуникациям компании.
Интересно, что теперь представители Джо Салливана утверждают, что обвинения Министерства юстиции не имеют под собой юридических оснований. Они распространили в СМИ следующее заявление:
